Анти БОТ

По поводу различных извращений - это скорее к тому, кто ставил эту бесячую капчу себе на сайт. Которая кстати, уверенно проходится Xevil. Я про клауд говорил, а не про вот такое, если что. Там уже привычная многим галка, а не все эти ребусы.

Здесь же как. Владелец сайта замечает проблему, и начинает искать самое простое решение, чтобы бац и сразу в дамки. Дешево и сердито, и чтобы заморачиваться всем этим не более 5 минут, с перерывами на кофе. Например, супер плагином для вордпресс. Ну и все, сидит довольный. Посетителей отфильтровал, ботов поведенческих пропустил. Лепота.

И яндекс браузер всем отключить. И все остальное, где они большие данные для анализа собирают. Т.е. выпилиться из интернета, сайт перевести на локалхост, или даже закинуть в архив на флешку, и с ней уехать на далекий хутор. Вот тогда эксперимент будет максимально точным.

Проблема в том, что всех ботов смешивают в одну кучу. Вообще не видя разницы между разными видами ботов.

Какой-нибудь ImagesiftBot - это бот начального уровня, по факту краулер. Без браузера, и придет скорее всего по http1.
А поведенческий придет и с браузером, причем юзерагент будет абсолютно таким же как у реального посетителя, и мышкой даже будет дергать, или скролл скролить на мобиле.

Если с первыми все более-менее понятно, то вторые никакими потугами с юзерагент не отбракуешь. Технически это такой же реальный пользователь, как человек. 

Но и серверные переходы банить - это банить не только ботов, но и всех впнщиков подряд. В женских тематиках например, где каждая вторая на впн, потому что инста, это такое себе. Выстрел в ногу.

Самокритика это хорошо.  Продолжайте поучать других. 

Ддосов, как и повенденческих ботов - не существует, вы что уже забыли?

PS Именно вам с ддосом столкнуться не суждено. Сайты с 3 калеками в день мало кого интересуют, даже мамкиных хакеров. Хобби на пенсии, и наличие крупного магазина - это 2 разных мира. Никак не пересекающихся. Так что просто продолжайте наполнять список айпи в htaccess. 

Вы со своими минимальными значениями на страницу сайта наподобие каталога, категории зайдите, с большим количеством запросов к изображениям и всякому разному. Вот удивитесь.
Эта настройка - это блокировать айпи, если с него в определенный период приходит столько запросов сколько вы там указали. Аналог fail2ban на сервере.
При банальном шастании по сайту создается пачка отдельных запросов к стилям, картинкам, скриптам и проч. Так что смотрите аккуратнее, не забаньте сами себя.

Потому что владельцы сайтов как-то пытаются фильтровать свой трафик, в меру своих умений и понимания. Иначе в метрику без слез не глянешь. Посетителей реальных на сайте 3 калеки, а в метрике тысячи, а то и десятки тысяч по прямым заходам щемятся. И хостер грозные письма шлет про нагрузку.

Отлично, сосредоточьтесь лучше на ледибоях.

Как я и говорил выше, именно с ДДОС мало кто сталкивается, абсолютное большинство - с поведенческими ботами. Например, возьмем Хетцнер. На нем есть ботофермы, достают своей накруткой поведенческих слишком многих.
На сайт набежали боты из Германии, начинают изучать логи сервера - а там сплошные айпи хетцнера. Смотрят что еще с него навалилось, выпадают в осадок. Ставят на капчу хетцнер. 
А потом покупают впн, лезут через хетцнер и делают круглые глаза, а что случилось, почему меня по впн проверяет при переходе с форума. И начинают из себя мать Терезу изображать, руки картинно заламывать.

Есть еще более отбитые, ставят на тот же хетцнер блок в htaccess, и потом радуются своему чистому трафику, причем без клауда, и, цитирую, "дурацких капчей". А впнщики при этом крутят у виска, перебирая в уме набор ненормативной лексики в отношении таких деятелей.

Должна быть золотая середина. И легитимного посетителя пропустить, даже скрывающего свое реальное расположение, и не пустить ту массу парсеров сканеров поисковиков уязвимостей, и прочего нежелательного, что приходит через эту же инфраструктуру, что и впн.

PS
Что касается ДДоС, наслать на сайт 50  тыс запросов всякого разного, это не ддос, а больше какой-то юношеский максимализмопук. Такое сразу зафильтровывается при наличии защиты. ДДоС - это когда 50-100 млн сразу засылается. Либо к миллиарду. Тогда есть шанс, что какая-то часть пройдет через фильтры и своей массой приглушит сервак. Но здесь уже вопрос цены, не для для мамкиных ддосеров.

Да. Ходить через впн, и при этом орать что не подозрительный - это сильно.

Нужно просто в htaccess поставить блок на весь Рунет, и особенно на серч, и избавить форум от своего присутствия. Пользуйтесь, не благодарите.

Самый эффективный способ настройки хтассесс - это сжечь комп. Сразу все боты испарятся, и не нужно будет тратить время на ежедневное внесение в хтассесс всего, что движется.

Ну или вариант лайт, - удалить метрику. Каждый день страдать от ломки, но держаться.