Как защитить сайт от DDoS-атак?

Для небольшого сайта первым делом стоит уточнить у хостинга, какая защита от DDoS уже включена по умолчанию — у большинства российских провайдеров базовая фильтрация трафика на сетевом уровне идёт в тарифе бесплатно. Дальше добавляют proxy-сервис вроде Cloudflare, который принимает трафик на себя перед сервером, и ограничение количества подключений с одного IP на уровне Nginx.

Проверьте в панели хостинга или в тикете поддержки, что именно произошло: атака на сетевом уровне, флуд пакетами, её отражает сам хостинг, или атака на уровне приложения — много запросов к тяжёлым страницам вроде поиска или каталога, тут уже помогает кеширование и лимит запросов. От типа атаки зависит, что настраивать, хостинг обычно указывает его в отчёте о происшествии.

Бесплатный вариант — подключить сайт через Cloudflare: домен переводится на их DNS, весь трафик идёт через их сеть, и часть атак отсекается ещё до сервера. Платный вариант для магазина с регулярными нагрузками — выделенная защита от специализированных провайдеров вроде DDoS-Guard или Qrator, это уже отдельная услуга поверх хостинга.

Полностью исключить риск нельзя, ни один сайт не застрахован от атаки, но снизить частоту и ущерб вполне реально. Держите под рукой контакты поддержки хостинга и заранее уточните, как быстро они реагируют на такие обращения — во время атаки важна скорость подключения защиты, а не её теоретическая мощность.