Как защитить сайт от DDoS-атак на уровне протокола?

От протокольных DDoS-атак (SYN flood, ICMP flood и похожих) небольшой сайт в первую очередь защищает сам хостинг: провайдеры вроде Timeweb, Beget, REG.RU фильтруют такой трафик на границе своей сети бесплатно, до сервера он просто не доходит. Если атака всё же проходит, обычно достаточно перейти на тариф с включённой защитой от DDoS или попросить поддержку временно ограничить число соединений с одного IP.

Важно различать два вида атак. Протокольные и объёмные атаки гасит хостинг на уровне сети, это не требует действий от владельца сайта. А вот атаки уровня приложения (HTTP flood) выглядят как обычные посетители, которые массово открывают одну и ту же страницу, и здесь без Cloudflare или похожего сервиса иногда правда не обойтись.

Проверить, какой у вас случай, можно по логам хостинга: если запросы идут с сотен разных IP на одну страницу — это, скорее, уровень приложения, тогда стоит хотя бы подключить бесплатный тариф Cloudflare, там достаточно сменить DNS-серверы домена без правки кода сайта. Если хостинг сам пишет, что отбил атаку на сетевом уровне — дополнительно ничего настраивать не нужно.