Cloudflare и AWS Shield — это как стрелять из пушки по воробьям для маленьких проектов. А если денег нет, то остаётся только iptables и молитвы. Кто-нибудь пробовал CrowdSec ? Говорят, бесплатно и не требует продажи почки.
И да, автор, спасибо за примеры, но где мем про “а что, если DDoS всё-таки пробьёт”?
P.S. CAPTCHA на API — это жесть. Лучше уж сразу ботов отстреливать.