Резкий всплеск прямых заходов. Как бороться?

В таком случаи я все выше описал по пунктам 😀 Насчет ссылки на как подключить, более прямой вариант выше дал от яндкс клоуд. Там все описано. да и получить ключи одна минута, зайти в панель выбрать капчу и дальше кликать кнопки которые будут появляться))
Писать тут все, что нужно сделать, не могу технически сейчас. В вкратце, создаете файл php, обзываете его как угодно. В него добавляете все заголовки включая 403. Далее вставляете из примеров уже предоставленных яндексом вызов капчи и получение ответа. По простому, вообще копируете из демо. Дальше добавляете свои условия в условия уже предоставленные яндексом в примере.  На прямые добавляете в условие || (!empty($_SERVER["HTTP_REFERER"])). Если хотите чтобы прошедшие не натыкались на проверку, ставите им куку и проверяете ее. Ботов полезных опять же просто выше проверки добавить и отключить ее для них. Для не прошедших die();. Да, если надо на выбранные, поставить проверку на урл и все.

Если есть возможность использовать невидимую или расширенную капчу, там можно в js условия и проверки добавить. Но первый вариант самый простой и знаний практически не надо, чтобы его запустить. Подключить удобнее через .htaccess ( php_value auto_prepend_file "путь от корня аккаунта/папка_скрипта/ваш_файл.php"), но можно и в индексный файл cms. 

Везде пишут что вверху ставить хорошие боты и http, а все краулы в самый низ.

Сейчас я вот так поставил.

А можно и мне скинуть?

Проверял. Заходил с прокси и через приватную вкладку - идет защитная проверка 2-3 секунды, потом меня пропускало.

Апдейт. Кажется пошел первый результат. Чуть чтуь снизился процент отказов. 

А в логах сервера вашего, что там с прямыми и тд, смотрели?

Смотрел, но я в этом не разбираюсь. Как понять где там что? Там просто длинный список ай пи адресов без подробностей.

Вот такое в реферере "-" "Mozilla прямой, то есть он пустой.

важно не просто капча, а количество действий, которое нужно сделать юзеру, это же основы всяких маркетинговых пунктиков.

моя капча, рекапча, клаудфлар, хкапча, это в основном 1-2 клика (клик на чекбокс и/или кнопку) и минимум мыслителнього процесса, это юзерам терпимо. смарткапча это минимум 7 кликов: клик по кнопке, 6 кликов ломая глаза и сложно думая куда в каком порядке кликнуть, кнопка подтвердить. у меня знакомый уже провел сравнение, в сравнении с просто капчами в 1-2 клика после смарткапчи успешно проходит процентов на 20 меньше живых юзеров. При том что боты судя по профильным чатам ее уже вполне проходят и процент пробива растет.

Я перед хорошими ботами ставлю не очень хороших ботов, чтобы сразу их в бан.

А после хороших то, что тоже нафиг не должно проходить.

А в самый низ то, где уже с большой долей вероятности могут быть люди.

А как настроить не хороших ботов? Что то мне в мануалах не попадалось такое. 

Процент пробива клауда не хилый также, как и у других. В яндекс капча всего один клик " Я не робот", все. Можно и без него обойтись, если невидимую поставить или расширенную. У вас какая-то не та инфа)