Борьба с роботностью

Он же robots учитывает

Не понял. Блокировка по странам не запретила же гугл, яндекс и чатгтп. я заблокировал Китай, Гонконг, Пакистан и Бразилию всего лишь.

Подскажите, что из этого стоит убрать из списка?

сократил так: if ($http_user_agent ~* (360Spider|80legs.com|AhrefsBot|AcoonBot|Acunetix|BaiduSpider|Barkrowler|Bytespider|CCBot|ClaudeBot|CensysInspect|CommonCrawler|crawler4j|DataForSeoBot|DotBot|Exabot|ExaSearchBot|HTTrack|InternetMeasurement|MJ12bot|MegaIndex|PerplexityBot|pycurl|Scrapy|SemrushBot|SeekportBot|Screaming|SISTRIX|Slurp|TurnitinBot|WebCopier|WebReaper|WPScan|YisouSpider|ZmEu|Amazonbot|GeedoProductSearch|meta-externalagen|FriendlyCrawler|BacklinksExtendedBot|ChatGLM-Spider|tphotobot|ElevenlabsCrawler|ShapBot|QlyzeBot|meta-webindexer|LinkupBot|weborama-fetcher|ImagesiftBot|matlistan|BLEXBot|coccocbot-web)) {
return 444;
}

Все. пора завязывать с блокировкой ботов. Пора уже заняться созданием контента, а то я увяз буквально в этом бесполезном деле.

Надо будет какой-нить сервис подключить просто и все.

Верно, только есть ньанс, не просто 10к запросов, а 10к разгаданных капч, если к тебе на сервер постучатся 100к ботов и не смогут разгадать капчу то это будет стоит ровно 0р. По сути оплачиваешь только лигитимный трафик, а за весь мусорный шлак смарткапча ничего не берет, в 99% случаях смарткапча будет бесплатная, у меня лично оборот в месяц 500к юзеров +-, бывает доходит до 700к, но я еще ни разу лимитку не переходил.

К слову, капчу на регу ставить это прям такое себе.... для чего и зачем никогда не понимал, пугать потенциальных пользователей если только....

Даже если представить что тот кто гонит на вас ботов подключив какой то сервис по разгадыванию капчи (хотя это само по себе бродово звучит =)), ну допустим это так, то его бюджет будет таять на глазах, а вы будете тратить копейки или вовсе ничего. Конечно может быть такое если захотят тупо парсить сайт на регулярной основе, то капчу всего скорее будут обходить, но это тоже крайне сомнительная затея, так как нужно тратить бюджет на API сервиса по разгадыванию капчи, проще найти проект без капчи и тянуть контент от туда, а таких полно.

Тут в теме тож писали про ddos guard, ставил, знаю, проблема в том что он может и работает, но только к теме это не относится, там защита от ддос, а не от тех ботов от которых хочется избавиться, даже если облако у них возьмете, не поможет, тестировал еще в те времена когда у них облако стоило в пределах 6-8к. Смысла вообще в сервисе этом не вижу, крайне дорого, а защита крайне сомнительная, бесплатная правильная  настройка limit_req_zone и fail2ban с минимальным сроком бана любому ддосеру за щеку выдаст, ну с тем учетом что номальным дядкам, которые специализируются на досс, вы им вообще не уперлись, им мы совсем не интересны. 

Вы даже не представляете насколько все просто, вот прям на коленке вся защита строится, даже будучи не далеким программистом задавая правильные вопросы какому то ИИ, той же Алисе от Яндекса, за час можно сварганить добротную защиту, все что нужно уметь это Ctrl+C и Ctrl+V, а перед этим нажать Ctrl+A и отправить вопрос с текущим кодом в ИИ, потом уже тестировать все это добро. Конечно накосячить тоже можно и даже с ИИ, я вот регулярно косячу, без этого никак.... =) с каждым косячком становишься чуточку умнее, а код становится немного правильнее.