Боты достали, портят поведенческие, что делать?

Попробуй для начала доступ разрешить к sitemap только Яндексу и гуглу.

Либо переименуй его в /sitemap67897653577.xml , который будет известен только тебе,  в robots.txt не указывай, скормишь в панели веьмастера напрямую.

Либо на статику его замени, отключи генерацию sitemap.

Hotlink включи, если не включён. Это все помогает существенно снизить нагрузку на хостинг.

переехал на новый сервер firstvds.ru с 8 ядрами и сайт заработал быстрее

Добрый день.

Подскажите,  пожалуйста, что с ним можно делать. Он только за утро дал 97% трафика.
Картина как на скрине уже второй день. Судя по всему он вроде заходит с одного ип-адреса. По состоянию на сейчас в .htaccess он прописан как

Order Allow,Deny
Allow from all
Deny from 95.217.141.56
Deny from 95.217.0.0/16

т.е. не только его ИП, но и все ИП этого провайдера, но это не мешает ему заходить.

(тему которую сделал в "Безопасность" наверно бы лучше здесь разместить, но ни исправить ни удалить там её уже не могу).

curl -X PATCH "https://api.cloudflare.com/client/v4/zones/_idkey_/settings/ipv6" \
     -H "X-Auth-Email: email_account_" \
     -H "X-Auth-Key: global_key" \
     -H "Content-Type: application/json" \
     --data '{"value":"off"}'

95% ботов заходит с дешевых ipv6 адресов.  Просто отключите IPv6 на вашем ресурсе (в настройках хостера или в настройках вашего vps) и будет вам всем счастье.  Также можно отключить IPv6 тем кто сидит на Cloudflare даже в бесплатном аккаунте, просто это делается через API в течение 5 минут.  Отключение никак не коснется обычных пользователей с такими айпишниками, просто IPv6 сейчас в приоритете, но если ваш ресурс его будет блокировать, то пользователь зайдет с IPv4 на автомате.   Насчет вырубания диапазонов в .htaccess не вижу смысла... замучаетесь добавлять. 

Вставил запрос для Cloudflare .... если потребуются разъяснения - подробности напишу. 

Забейте на Янд, его нет, работает двойник - Дзень. У меня с Гугла пошел взлет, заказы. ПФ не работает. Мелкая коммерция ..

Здравствуйте, подскажите пожалуйста, если стоит защита от ботов от Cloudflare, а я хочу накрутить уникальных ботов на свой сайт (120-180 секунд время провождения на сайте), пропустит ли CF таких ботов? 

Или как лучше сделать? Отключить защиту во время накрутки ?

Смотря, какие боты. Можно так настроить CF, что боты не пройдут проверки и отсеются.