второе хотелось бы измерять более объективно. Самый простой способ - инлайн-кнопка "Мне это подходит", но юзер запросто может забыть на нее нажать, и статистика будет неполной.
и если я включаю under attack - он включается везде.
site.ru/api/*
) или поддомена (*api.site.ru/*
), выбрав там Security Level.
Я бы бежал с beget