Как правильно ограничить поведенческих ботов

Если боты имитируют идеальное поведение, но при этом реальные пользователи, попадая на сайт, сразу уходят (потому что дизайн устарел, цены завышены, а текст не отвечает на запрос), алгоритм видит колоссальный разрыв. Поисковик понимает: сайт удерживается в топе искусственно, реальным людям он неинтересен, и опускает его в выдаче.

Верно. Поэтому стратегия накрутки без качественной модернизации сайта всегда приводит к тупику деловых отношений.

И самое важное - ни один опытный SEO-шник не возьмёт в работу слабый проект с накрученный переходами, бизнес будет обречён скитаться по накрутчикам, которые своими бесплатными тестовыми прогнонами буду только глубже зарывать проект в яму.

Опытный имитатор может начать советовать владельцу сайта, дескать, давайте подливать накруточку постепенно, небольшими порциями, чтобы не спалиться.

Каким образом? Если боты имитируют идеально.

Алгоритмов нам никто не скажет конечно что бы не утверждали имитаторы и спамеры,  но видимо математики у поисковиков не дураки и знают закономерности.

Да, такая стратегия имеет место быть. Иногда она вынуждена и/или необходима.

И они имеют свою резонность на практике. 

Нередко даже активно развивающиеся сайты могут использовать такой подход.

Но в целом тема не про выбор стратегии использования ботов, а про ограничение влияния сторонних ботов.

Думаю самая эффективная защита от ботов если не брать сам CF, это Nginx + челендж с капчей на нем, по сути тоже самое что и CF, только индивидуальная реализация. У мня стоить челендж и ботов вообще нет, единственное что нужно правильно настраивать и не накосячить

Все, дальше можно не писать. Сейчас набегут местные свидетели секты блокировки парсеров/сканеров через htaccess по диапазонам/User-Agent, и забросают фекалиями. Для них вообще нет разницы между поведенческими (у которых уже пятое поколение можно насчитать) и простейшими http ботами, для них это одно и то же - боты. Они в прошлом столетии заблокировали Битерику по диапазонам, на этом борьба с ботами триумфально завершена.
А раз триумф уже одержан, какая капча.... 😂

А по каким кстати признакам срабатывает челлендж? И что он из себя представляет.

Срабатывает он так как тебе угодно, по каким признакам сделаешь активацию его, по таким и будет, можно всем подряд, можно фильтровать по языку к примеру, по IP, по UA, до почему угодно. Визуально можно сделать одив в один как в CF. Технически это промежуточная страница где nginx без смены url, а можно и со сменой, перенаправляет клиента на страницу скажем с гпроверкой браузером токена и/или прохождением капчи. У меня к примеру 2 уровня стоит, лайтовый - генерация токена и проверка его JSом, это по сути фильтрует тех у кого JS вырублен, как раз для тех ботов которые код страницы хотят получить, а при этом получают страницу челенджа. Вторая версия со SmartCaptcha для более умных боов которые используют JS и проходят проверку токена, к примеру если юзают puppeteer он на изи проверку токена проходит, но капчу не пройдет, для ботов разгадка капчи это дорого и ресурсоемко. По сути nginx перед отдачей сайта выплевывает клиенту обычную лайтовую html страницу для решения каких то задачь, на ней можно сделать все что тебе в голову взбредет, если проверка пройдена, то пропускает на сам сайт. Я так кстати не только от говноботов и парсеров избавился, но и мое дешманское облако 10млн. запросов (за сутки) во время ддос даже не заметило, к слову говоря ставил до этого зажиту L5-L7 у хостера и она вообще не помогала, ну или частично только, может конечно защита такая неочень у них была, я точно не знаю.