Почему очень много сайтов работает через Cloudflare?

Какую функцию КФ Вы имеете ввиду? Ссылку можно на доку?

ПФ боты проходят JS и Managed Challenge с эффективностью более 50%.

Interactive Challenge обходят от 11 до 20%.

Как этот режим в плане прохождения ботами?

Я пока на бесплатном тарифе. Платно использую только CF Argo Smart.

В документации написано: " For Free customers (Bot Fight Mode), JavaScript detections are automatically enabled and cannot be disabled. "

Получается что и на бесплатном действует?

Не понял чет отличается защита от ботов на бесплатном и платном: 

https://developers.cloudflare.com/bots/plans/free/

https://developers.cloudflare.com/bots/plans/pro/

Да поведенческие боты это обычные браузеры - с чего бы им не пройти проверку на JS ? Усложнить ботам заход может только капча и все, да и то ее разгадывают как сервисами так и хevil и пр.   Managed Challenge  если сочтет что пользователь реальный то может ообще никакую проверку не выставить.   Super Bot Fight Mode это от тупых ботов типа python, curl и пр.  сервисов и сканеров, анализаторов - на поведенческих ботов он тоже  мимо. 

Вы наверное комментарием ошиблись. Об этом спрашивал  sagamorr

В остальном мире наверное нет такой проблемы с поведенческими ботами, которую породил яндекс, поэтому наверное КФ и не работает в этом направлении.

Да, конечно это не Вам адресовано - суммировал. Вы правы, именно так они на форуме поддержки мне и ответили когда то - мол ни о каких ботофермах мы типа слыхом не слыхивали, как отличить браузер с человеком от браузера с ботом не представляем, но все в порядке, если будет проблема то начнем работать,  используйте капчу разумно чтобы не навредить реальным пользователям, привет семье.

Давно не слышал о подобном.

Если так посмотреть, то большинство айпишников клауда можно найти в списках РКН. Допустим на каком-то из них в 2017 году располагался сайт с фармой. Но если блочить по айпи, то пострадают вообще не имеющие к тому сайту никакого отношения. Также нужно иметь в виду, что айпи адреса клауда, которые назначены сайту - динамические, и отличаются в зависимости от страны запроса.

Как мне кажется, пробовали одно время, но очень быстро поняли ущербность подобной тактики.

сейчас это зависит от технических способностей конечного провайдера. а там все уже ростелеком, мегафон, мтс и т.п. основные гиганты захватили рынок и у них DPI норм работает и распознает домен. Т.е. почти по всей россии уже нету надобности блочить ипы.