nginx smallddos

Наверное в школах объявили карантин по гриппу

Лимиты можно ставить не только в секунду, а и в минуту.

А вообще 400 ответ свидетельствует о битых, не коректных запросах.

И по идее чистые POST запросы не приходят от поситителей. Это можно резать...

Также вопрос, чем вас не устраивают кукесы через js? Отсекаются поисковые боты?

Для этих целей существует белый лист (да он не идеален, но в критических ситуациях это здорово может помочь).

Разумеется включать кукесы можно лишь при обнаружении атаки. Обычно я это не использую, но не отрицаю того, что это поможет ослабить атаку..

Если интересует обращайтесь в скайп, обсудим и смогу приступить к настройке.