Ну, вся эта борьба с DDOS — тема спорная. Есть куча способов типа rate limiting и капчи, но бывает так, что атака всё равно пролезет, особенно если серьёзные ребята замешаны. Никакой «волшебной таблетки» не существует, и для нормальной защиты уже надо либо платить, либо иметь машину посерьёзнее. Просто для мелких проектов — да, базовые меры помогут, но сильно на это надеяться не стоит.