Короче, столкнулся с ситуацией, когда казалось, что антиддос стоит — а всё равно трафик сваливался и сайт падал. Чтобы не гадать, собрал свой базовый список, что сначала проверить и настроить, чтобы не спалиться при атаке.

Первое — проконтролировать логи. Если их нет или они обнуляются слишком быстро, то отдавать переустановку. Без логов даже не поймёшь, что вообще происходит.

Второе — проверить правила фильтрации по IP и гео. Часто вижу, что сразу добавляют блоки на кучу стран, не подумав, где реально сидят пользователи. Можно и легит трафик отрезать, а толку от этого мало. Лучше смотреть статистику и уже точечно.

Третье — лимиты по запросам и сессиям. Многие забывают выставить лимит на количество запросов с одного IP или сессии за минуту, и из-за этого атака легко пробивается. Тут главное не пережать — чтоб обычный пользователь не вылетал.

Четвёртое — проверка капчи и JS-чеков. Капча должна быть не слишком тяжелая, но и не совсем пустышка, которая пропускает всё подряд. JS-проверки помогают от ботов — если есть возможность, включайте их.

Пятое — интеграция с CDN или WAF. Сам антиддос — это одно, а вот когда он хорошо проксируется через CDN с защитой, — тогда уже в разы легче.

Вот такой у меня опыт. Кто ещё как проверяет свои антиддосы, чтобы не попадать впросак?