Дима Барсуков

Вероятно signature - это что-то вроде типичного поведения данных браузеров. Туда, например, может входить определенный набор http-заголов (Accept, Accept-Encoding и т.д.). Может быть и более комплексная логика. То есть cloudflare определил, что ваш запрос идет от бота, представляющегося обычным браузером, а такое поведение заблокировано владельцем сайта.

Это нормально. Вам будет интересно почитать про DI (Dependency injection). Для более простых случаев, когда волокита с DI не оправдана, можно использовать Registry, статическое хранилище, откуда в любом месте можно по необходимости достать нужную модель. Тут можно посмотреть на реализацию ActiveRecord в Yii и непосредственно метод model()

Это невозможно сделать. Можно проверять http-referer у агента, но его легко подменить.