Un DDoS (Distributed Denial of Service) satura un servizio con traffico proveniente da migliaia di macchine (spesso una botnet) finché non risponde più. Non ruba dati: toglie disponibilità. Le varianti principali: volumetrici (banda), di protocollo (SYN flood) e applicativi (L7: richieste HTTP apparentemente legittime).
Difese a strati: una rete anycast davanti (Cloudflare e simili assorbono i volumetrici), poi rate limiting (limits, o l'edge), poi un WAF che riconosce i pattern applicativi (caddy-waf, patterns) e ban automatici per chi insiste (caddy-mib). Il DDoS proprietario su larga scala resta il caso in cui un servizio gestito è difficile da sostituire – flareover lo classifica onestamente come MANUAL.