Резкий всплеск прямых заходов. Как бороться?

Проходят, боты 1 из 10.

Посмотрите с каких сетей и на какие страницы идут боты. Возможно поставить блок при заходе с определенной сети, на определенную страницу.

У вас установлен антибот или CF я так понимаю?

Уже несколько лет обсуждают выдуманную проблему, а в чем фишка? Продать очередную прогу "антибот"

Сайты уже ботами не валят, а значит и все действия против ботов - облегчить нагрузку на сервер, а всё остальное, я про ботовый .... хоть прямой, хоть кривой траф, - на запросы сайта НЕ ДЕЙСТВУЕТ

да это принцип всех систем защиты, и антиботов и антиддосов - показать промежуточную страницу проверки. которая собой подменяет реферер и закладочный траф дальше уже видится как внутренний. 

если стоит одновременно cloudflare и антибот - в антиботе для надежности в серый список (DARK правило) вносить собственный домен, на случай если боты прошли cloudflare.

Действуют. Пару дней такие боты понаваливали. 3000 заходов в день с рефером типа с главных страниц sberbank, ozon, tinkoff и прочих.

И на третий день реальная просадка. Правда в гугле. Пришлось врубать блокировку. За пару дней все восстановивлось.

А каким способом вы одолели ботов, которые якобы идут с других сайтов. Ответьте пожалуйста тут, или если удобно в личке

Вроде Гугл не настолько чувствителен к поведенческим?

Я тоже думал, что не должно ничего быть. Поэтому два дня просто наблюдал. А потом резко трафик просел на две трети.

И когда тут в соседней ветке сказали, что так рушат поведенческие, пошел блочить.

Про яндекс ничего не могу сказать, у нас с него и так трафика не было.

Такое сейчас проще на андидосс любой службе делается.

А раньше мы делали на уровне сервера. Делали шлюз для входа на сайт с ява скриптом. Т.е. человек заходил на страницу А, его перекидывало на шлюз и яваскриптом редиректом сразу отправляло на страницу А. У ботов яваскрипта нет, их дальше шлюза не пускало.

Поисковикам разрешали ходить напрямую. Ну и куки давали посетилелям, чтобы они уже по сайту без шлюза ходили.

С чего вы решили что поведенческие боты не выполняют JS? ) У них обычный браузер с маскировкой User Agent - как они по вашему например видят метрику и кликают по рекламе если js не поддерживают? JS Challenge от поведенческих не избавиться - только капча. Зайдите сами на zennolab и убедитесь.  JSChallenge  поможет только от совсем тупых ботов - парсеров,скраперов и анализаторов и т.п.