Анти БОТ

Если никакие внешние сервисы фильтрации не используете, то посмотрите с каких айпи приходят такие запросы, и блоканите по диапазонам в том же htaccess.

Посмотреть можно, сделав проброс IP в метрику, либо в access логах на хостинге.

Сделайте простенький сайт (+ телеграм чат, каналы нужные в соцсетях). Ну и здесь, думаю, найдется некоторое количество тех, кто с удовольствием воспользуется всем этим. Наберите какое-то количество первоначальных бесплатных пользователей / тестеров. 

Это даст вам обратную связь, понимание куда двигаться. 

Всю желчь излили, или у вас там анлим, бред разный из пальца высасывать? Продолжайте наблюдение.

Да я понял, что вы читать не умеете. Там шла речь про то, что отточенная универсальная защита справится с абсолютным большинством атак без доработки. Когда тупо ддосят например главную или какую-то внутреннюю.
А когда лезут в структуру сайта, находят какие-то другие объекты для атаки, то здесь уже требуется доработка фильтрации под изменившиеся условия. Но вы продолжайте вести наблюдение, очень интересно.

Это вы про себя? Вырвать фразу из контекста, это конечно великое умение, продолжайте наблюдение.

Это стандартный юзерагент для хрома 134 версии, ну и винда. Ну т.е. все кто не обновил браузер, такие тоже могут быть, тоже в блоке.

Юзерагент любой можно задать.

Слишком топорно так делать. Ну только если от безнадеги.

У многих поведенческих ботов есть движение мышью, они переходят по ссылкам на сайте, долго и заинтересованно на нем шарахаются. Как вы их отличите от точно таких же, но живых?

Ну т.е. продолжайте работать и развивать продукт. Вам на этом пути предстоит много открытий и нового кода.

Как показал чуть выше Mik Foxi (который, между прочим, мягко говоря, в теме), все эти жс скрипты - это на побаловаться. И обходится элементарно, включая банальным вырезанием кода при загрузке. Ну или через хостс, я тоже без никакой капчи зашел.
Ну и плюс массив запросов без JS всегда превышает те что с браузером идут, так что это не защита, а полузащита. Двигайтесь в сторону фильтрации до коннекта с целевым сайтом, а не после (когда уже бесполезно).

Вам и без меня днем подтянутся фекалий накидают, завсегдатаи форума.
Вы проксирование клауда отключите, а там будет видно.

Попробуйте разбить вашу проблему на куски, методом исключения.
Выключите проксирование на клауде, проверьте, сохранятся ли ошибки и глюки. Если все наладится - проблема именно в этом:

А если и без клауда все будет так-же - то, соответственно, проблема в Джумле или ваших настройках сервака.

Вот в этом то и проблема. Для большинства ДДОС - это что-то из раздела фантастики в библиотеке. Ну либо другая крайность, любое повышение нагрузки на хостинге воспринимается как ддос атака. Мне за годы работы с клаудом пришлось иметь дело с огромным числом атак, спокойно разбираться с большинством из них, все стандартно до скукоты. А вот когда делом занимаются профессионалы, дорогие профессионалы, они разберут сайт по косточкам, в поисках слабых мест, и обязательно их найдут.
Счастье рядового владельца сайта в том, что это дорого и штучно, поэтому с высокой долей вероятности он с таким вообще ни разу не столкнется за свою жизнь. А залетные ддосеры делают массово дешево и сердито, поэтому их бояться не стоит, если есть клауд и опыт работы с ним именно в отбитии атак, а не просто НС прокинуть и пару WAF из интернета скопировать.
Сразу видно что именно вы - в теме.