второе хотелось бы измерять более объективно. Самый простой способ - инлайн-кнопка "Мне это подходит", но юзер запросто может забыть на нее нажать, и статистика будет неполной.
и если я включаю under attack - он включается везде.
site.ru/api/*) или поддомена (*api.site.ru/*), выбрав там Security Level.