У меня проекты на впс и для подобных умников которые пытаются подобрать пароли к админкам (только при заходе в них)(url изменены на не стандартные) сразу в бан fail2ban'ом на 5 лет, насчёт перебора опять же после например 5 попыток с ответом сервера 404 в бан, я думаю это особенно поможет так как сайт уверено сидит на своих позициях в гугле, сейчас у меня в бане больше 500 подсетей от 128 ip до 16 миллионных(китай успокоил) + я каждые 3-4 дня стараюсь сам просматривать логи сервера на наличие левой активности и сайта по ответам сервера отличным от 200
CF не рекомендовал бы пользоваться если сайт для РФ так как очень много ip их в полном бане, и какой достанется сайту не известно, так как его можно узнать только после перехода на CF, и если он в бане то это ещё время что бы вернуть dns обратно, а это получается не плохое время недоступного сайта
