Не DDoS, а баг в OPcache: воркеры PHP-FPM по 600 МБ на сервере с 5 500 сайтами WordPress

[DennisP]

Обязательно надо использовать кеширование fastcgi, как минимум кеширование 404 ответов бэка - директива nginx fastcgi_cache_valid 404

[CynepMyx]

Против сканеров кеш 404 полезен, согласен. Но тут дело было не в нагрузке: таблица map_ptr растёт после каждого opcache_reset, и воркеру хватает одного запроса, чтобы держать её целиком.

[pae174]

/.well-known/ вынесен отдельно, чтобы не сломать выпуск сертификатов.

Не знаю как там у вас, но у меня боты даже в /.well-known пытаются искать всякое разное. Они даже install.php там ищут.

[CynepMyx]

Справедливо. SANS ISC писал об этом в 2025-м: так ищут вебшеллы, их прячут в /.well-known/, потому что обновления сайта туда не лезут. В карте можно первой строкой закрыть PHP внутри: "~*^/\.well-known/.+\.php$" 1;

[DennisP]

проще запретить там исполнение php и отдавать всё что просят напрямую