Cloudflare лег?

Вот в этом то и проблема. Для большинства ДДОС - это что-то из раздела фантастики в библиотеке. Ну либо другая крайность, любое повышение нагрузки на хостинге воспринимается как ддос атака. Мне за годы работы с клаудом пришлось иметь дело с огромным числом атак, спокойно разбираться с большинством из них, все стандартно до скукоты. А вот когда делом занимаются профессионалы, дорогие профессионалы, они разберут сайт по косточкам, в поисках слабых мест, и обязательно их найдут.
Счастье рядового владельца сайта в том, что это дорого и штучно, поэтому с высокой долей вероятности он с таким вообще ни разу не столкнется за свою жизнь. А залетные ддосеры делают массово дешево и сердито, поэтому их бояться не стоит, если есть клауд и опыт работы с ним именно в отбитии атак, а не просто НС прокинуть и пару WAF из интернета скопировать.
Сразу видно что именно вы - в теме.