Боты из РФ, проходят через JS ngenix и сидят на сайте по 15-20 сек

но то что у ТС "есть с указанием крупных vk, dzen, pikabu и прочее" - это со свистом пролетает любые защиты клаудфлара. они вполне норм и с максимально разнообразными ипали, на них CF вообще никак не тригерится. Если конечно ты не запихнешь эту тыщу самых топовых сайтов в черный список, ну или наоборот - разрешить только поисковый траф с минимальной проверкой, а весь остальной с принудительной по полной.

клаудфлар это антиддос, у них вообще другой уровень защиты от других проблем, это они исполняют отлично даже в бесплатном тарифе лучше чем другие сервисы за большие деньги. но они не в курсах и не считают проблемой весь этот наш рунетовский поведенческий движ, что к кому то придет тыща полноценных браузеров, с незаспамленных домашних ипов они не считают это атакой.

надо табличку около этой тыщи, где будет видно не только реферер но и CF_bot_score, чтоб наверняка сказать, что CF не защищает, есть такая табличка?

Если даже завтра Яндекс заявит, что ПФ больше не учитывает и накрутка бессмысленна, все равно этих ботов будут крутить еще лет 5 минимум.

предложи ТСу защитить и будет у тебя табличка. Threat Score у них точно максимально отличные.

но то что у ТС "есть с указанием крупных vk, dzen, pikabu и прочее" - это со свистом пролетает любые защиты клаудфлара.