Боты из РФ, проходят через JS ngenix и сидят на сайте по 15-20 сек

Прошу прощения, спутал тебя с ТС. Невнимательность ))))

Попробуйте cloudflare, в правилах (WAF -> Custom Rules) настройте принудительно JS на весь сайт

и  action JS Challenge

и только тогда, все посетители будут её проходить в обязательном порядке, можно включать например во время атак, либо вообще менять на интерактивную проверку.

на активацию правил уходит порядка 2 минут, что бы они начали работать и пропускать новых посетителей верно.

Если хочется какую-нибудь глупость сделать, вот подобную как в цитате, тогда проще на кнопку Under Attack нажать. Действие аналогично, только вместо дурацкой JS Challenge, которую проходит большинство поведенческих ботов, будет более продвинутый вариант капчи.

нет, нету, все ходят как к себе домой =))

От CloudFlare ушли. Писал выше почему. Но при этом понимаю, что CF - это лучшее что можно придумать для борьбы с ними.

Дайте, пжл, совет. Как определить по ip что это бот на 99% ?

Смотрю инфу по 2ip , какими инструментами Вы пользуетесь? На что ориентируетесь при определении бот|не бот?

прежде чем принимать какие то решения и что-то делать, нужно выслушать все что накопилось из опыта у других. форум же  для этого?

на 70-80% можно определить по слепку сети сравнив с оригинальными, если юзер агент подделать легко, то сеть на порядок сложнее
у CF лучшее решение против ПФ-ботов на сегодняшний день (не считая яндекса, но он не делится)
можно попробовать у киллбота взять софт

никак, даже на 10% не определить. ip это ip. 

Так несколько лет назад эта тема была полностью на этом форуме и раскрыта.

Ничего нового с тех пор не появилось.

А читать и вникать - лень. Понимаю.

Самый проверенный способ - авторизация через госуслуги 😁