Помощь в фильтрации ботов через CloudFlare

Хостинг один. На одном из двух сайтов, на которых ошибки, почти всё такое же, как и на том, где всё ок. На втором другая тема и другая версия php.
Плагины отличаются, но даже если их поотключать и оставить те же, с которыми на третьем сайте всё работает, всё равно 502…

Я их заблокировал добавив в одно правило на проверку такой код: or (http.referer contains "домен моего сайта").

Но при этом в правило выше, где skip, пришлось добавлять or (http.request.uri contains ".css") or (http.request.uri contains ".jpg" (или любой нужный формат картинок)), также js файлы и т. д. Иначе стили слетят и не будут загружаться картинки. Будьте с этим очень аккуратны. Наверняка есть решения и получше, просто делюсь способом, которым воспользовался сам.

Так по идее должно блочить или выкидывать капчу при любом переходе внутри сайта.

Подскажите, пожалуйста, как в CF сделать правило, которое бы отсекало ботов, которые идут через Referer определённого поискового запроса из Яндекса?

Заметил в метрике, что стали крутить один конкретный поисковый запрос из Яндекса. При этом в Cloudflare в логах WAF я не вижу этих посещений на эту страницу (кроме своих), но метрика пишет, что они есть. Процент отказов именно на этой странице в районе 25%. Запрет в Метрике на приём данных с других доменов стоит.

Я это сделал, но получается так, что капча выдаётся, когда идёт прямой заход с пустым реферером, если реферер по типу переход с поисковой системы (с конкретным поисковым запросом), то капчи нет, и боты пролезают.

Подскажите, как настроить CF так, чтобы на эту страницу выдавалась капча даже при переходах из поисковых систем?

Сейчас настроил CF на блокировку (вывод капчи) по рефереру с Яндекса, а также по пустому рефереру. Теперь с поиска Яндекса на атакуемую страницу выдаётся капча. Тем не менее, в метрике статистика всё такая же, будто по этому запросу заходят с Яндекса. Что интересно, в логах WAF обращение к этой странице практически не фиксируется.

Я не понимаю, как эти данные попадают в метрику, если физически боты даже на попадают на сайт по такому поисковому запросу. Да и вообще количество обращений к этой странице, судя по данным WAF, минимальное. То есть трафик какой-либо на атакуемую страницу фактически не фиксируется.

Появился какой-то новый метод накрутки метрики что ли?

В настройках счётчика стоит галочка, чтобы принимал данные только с основного домена, включая поддомены.