evnuh

Спросите себя - зачем? Кому надо, тот код всё равно посмотрит. И так ли нужны ваши скрипты и картинки кому-нибудь?
А по вашему вопросу - идите в гугл, там по любому релевантному запросу куча вопросов на StackOverflow.

location ~ ^/([a-zA-Z0-9\.\-]*)/(.*) {
    if ($http_referer !~ "^$1.*$"){
            return 403;
    }
}

sudoers?

Ну, тут уже решать вам. С одной стороны время между посылкой ответа браузеру, с другой - оверхед от частой передачи данных от fastcgi до клиента. Зависит от размера страницы которую генерит fastcgi. Но лучшим вариантом будет конечно оставить дефолтовые значения. Зачем вы их хотите менять, если сами не понимаете необходимости этого?

Порядок проверки локейшнов у nginx точно приходит к нужному локейшну?

To find location matching a given request, nginx first checks locations defined using the prefix strings (prefix locations). Among them, the location with the longest matching prefix is selected and remembered. Then regular expressions are checked, in the order of their appearance in the configuration file. The search of regular expressions terminates on the first match, and the corresponding configuration is used. If no match with a regular expression is found then the configuration of the prefix location remembered earlier is used.

Так же проверьте нет ли префиксных локейшнов такого вида:

If the longest matching prefix location has the “^~” modifier then regular expressions are not checked.

Переименуйте index.php во что-нибудь другое и посмотрите что получится. Если все-таки это нужный index.php, то покажите ВСЕ файлы настроек nginx, ну, и заодно свой index.php

По-хорошему, конечно же, для каждого отдельного хоста (поддомена) следует отдельный сервер заводить в nginx.

Автор, документация не интересует? Осталось немного, в лс.