Резкий всплеск прямых заходов. Как бороться?

Плохиш даже не запустил ядро, он с апача ушел в 403 ( смотря от подключения). Не прошел капчу, тогда яндекс записал ему в профиль этот факт, прошел, все ок. Вся логика. Больше я не знаю вариантов, как это объяснить. Просто запускайте скрипт до сайта.

Бот не прошел капчу - куда сливается этот акт? Яндексу и Ботоводу :D
Ты в Яндексе работаешь? С уверенностью так говоришь что сливает, что обнуляет ;)

Метрика в капче фиксирует непрошедшего юзера и отправляет данные в БД, а там уже автоматом все проверяется: где ходил, куда ходил, как ходил, что получал и т.д., и что с ним потом делается - никто кроме Яндекса и ботовода не знает.

наконец то стало доходить? ) если загрузил в браузер скрипты яндекс капчи https://smartcaptcha.yandexcloud.net/captcha.js то дальше уже не важно прошел  проверку или нет и даже не важно проверялось ли там что-то или нет. для владельца сайта это уже не важно. метрика все поведение зафиксировала. 

Вы точно читаете, о чем выше написали вам, не только я? Повторю, вас переубедить никто не пытается, но иногда логика помогает, это не в обиду, просто чтобы не писать одно и тоже. Все проверки так работают, хоть клоуд, хоть антибот, хоть других контор)) 

владельцу сайта не важна судьба ботовода и его ботов. для него остается только факт, что все поведение передано в яндекс. 

если бот пришел реально с яндекса, значит яндекс уже его определил человеком и не закошмарил его в выдаче. а значит метрика видит классику: человек пришел с яндекса и быстро ушел с сайта и в бан уходит не бот, а сайт.

это понятно . но у всех проверок есть самый главный и по сути единственный нюанс. о проверке и вообще этом заходе метрика и яндекс не узнает. на клаудфларе дропнули бота = счастье и хорошие поведенческие, яндекс ничего не знает, бот нейтрализован. 

в смарткапче сразу идет метрика. которая делает бесполезной все дальнейшие проверки и блокировки.

Т.е вы утверждаете, что если человек-бот не прошел капчу Яндекса, то он для него все равно загрузится сайт?

В противном случае не понятно, как по вашему Яндексу поступил сигнал о том, что сайт не понравился. С 403 страницы что ли?

Юзерагент попытался зайти на сайт и НЕ ПРОШЕЛ КАПЧУ, что передалось в Яндекс. Юзерагент даже до метрики сайта не дошел, получив ошибку.
Это все собирается в БД и Яндекс автоматом смотрит эти данные, анализируя Юзерагента. И если он везде не проходит капчи, то он его заносит в списки и метрика на сайтах других, где нет капчи от Яндекса - не пишет его в счетчик.
Нагуливай потом профиль или нет - уже без разницы. Профиль с меткой.

не важно что загрузилось, контент вашего сайта или страница проверки вашего сайта.

главное что на странице проверки со смарткапчей загрузился код метрики.

сигнал яндексу поступает из метрики. метрике вообще без разнице какой код страницы при этом был, она если есть на странице, то грузится одинаково что 200 что 403.

метрика загрузилась в сматркапче. смотри мои скриншоты. это списки файлов которые грузятся только из того что смарткапча грузит.

теоретически так и должно было быть. но на практике это не доказано, потому что не работает.