Reducir a Google el rastreo por nuestra web

# Mantenimiento de todo el sitio: 503 y Retry-After de una hora.
# Tu IP sigue entrando, y la página de mantenimiento (y su carpeta) no se bloquea.
<IfModule mod_rewrite.c>
  RewriteEngine On
  RewriteCond %{REMOTE_ADDR} !^203\.0\.113\.10$
  RewriteCond %{REQUEST_URI} !^/mantenimiento
  RewriteRule ^ - [R=503,L]
</IfModule>
ErrorDocument 503 /mantenimiento.html

# La cabecera solo cuando la respuesta es 503 (Apache 2.4.10 o superior).
# «always»: sin él, Apache solo añade cabeceras a las respuestas 2xx.
<IfModule mod_headers.c>
  Header always set Retry-After "3600" "expr=%{REQUEST_STATUS} == 503"
</IfModule>

# Solo /tienda/ devuelve 503; el resto de la web sigue en pie.
# En el VirtualHost sería lo mismo dentro de <Location /tienda/> … </Location>
<IfModule mod_rewrite.c>
  RewriteEngine On
  RewriteCond %{REMOTE_ADDR} !^203\.0\.113\.10$
  RewriteRule ^ - [R=503,L]
</IfModule>
ErrorDocument 503 /mantenimiento.html

<IfModule mod_headers.c>
  Header always set Retry-After "7200" "expr=%{REQUEST_STATUS} == 503"
</IfModule>

# Limitar de verdad es cosa de un WAF o de mod_security. Pero si quieres frenar
# a un bot con 429 (que dice «vuelve luego») en vez de con 403 (que dice «fuera»):
<IfModule mod_rewrite.c>
  RewriteEngine On
  RewriteCond %{HTTP_USER_AGENT} (AhrefsBot|SemrushBot) [NC]
  RewriteRule ^ - [R=429,L]
</IfModule>

<IfModule mod_headers.c>
  Header always set Retry-After "600" "expr=%{REQUEST_STATUS} == 429"
</IfModule>

# Mantenimiento: todo lo que no venga de tu IP se sirve desde mantenimiento.php,
# que es quien devuelve el 503 y la cabecera. Sin R=503, sin mod_headers y sin
# ErrorDocument: vale igual en LiteSpeed Enterprise y en OpenLiteSpeed
# (en OpenLiteSpeed, con «Auto Load from .htaccess» activado en Rewrite).
RewriteEngine On
RewriteCond %{REMOTE_ADDR} !^203\.0\.113\.10$
RewriteCond %{REQUEST_URI} !^/mantenimiento
RewriteRule ^ /mantenimiento.php [L]

<?php
// 503 y Retry-After desde PHP: esto lo entiende cualquier servidor.
http_response_code(503);
header('Retry-After: 3600');        // segundos, o una fecha HTTP en GMT
header('Cache-Control: no-store');  // que ninguna caché se quede con el 503
header('Content-Type: text/html; charset=utf-8');
?>
<!doctype html>
<html lang="es">
<head><meta charset="utf-8"><title>Mantenimiento</title></head>
<body>
  <h1>Volvemos en una hora</h1>
  <p>Estamos haciendo cambios. Vuelve a intentarlo un poco más tarde.</p>
</body>
</html>

# El límite por IP de LiteSpeed (Per Client Throttling, en el WebAdmin) frena,
# pero no contesta 429 ni manda Retry-After: a las peticiones de más las deja
# esperando. Para decirle a un bot «vuelve en diez minutos», que lo diga PHP:
RewriteEngine On
RewriteCond %{HTTP_USER_AGENT} (AhrefsBot|SemrushBot) [NC]
RewriteCond %{REQUEST_URI} !^/limite\.php$
RewriteRule ^ /limite.php [L]

<?php
http_response_code(429);
header('Retry-After: 600');
header('Content-Type: text/plain; charset=utf-8');
echo 'Demasiadas peticiones. Vuelve a intentarlo en diez minutos.';

# nginx no envía una cabecera cuyo valor esté vacío: con un map, Retry-After
# solo acompaña a los estados que la necesitan. Esto vale para todo lo de abajo.
map $status $retry_after {
    503     3600;   # mantenimiento: una hora
    429     10;     # límite de peticiones: diez segundos
    default "";
}

server {
    # …
    add_header Retry-After $retry_after always;   # «always»: también en los errores (1.7.5 o superior)
    # Ojo: si una location tiene su propio add_header, no hereda este. Repítelo ahí.
}

# Se activa creando el archivo mantenimiento.flag en la raíz y se desactiva
# borrándolo: sin tocar la configuración ni recargar nginx.
set $mantenimiento 0;
if (-f $document_root/mantenimiento.flag) { set $mantenimiento 1; }
if ($remote_addr = 203.0.113.10)          { set $mantenimiento 0; }
if ($mantenimiento)                       { return 503; }

error_page 503 @mantenimiento;
location @mantenimiento {
    rewrite ^ /mantenimiento.html break;
}
# La página de mantenimiento, con el CSS incrustado: cualquier recurso aparte
# (una hoja de estilos, un logo) recibiría también el 503.

location /tienda/ {
    set $mantenimiento 0;
    if (-f $document_root/mantenimiento.flag) { set $mantenimiento 1; }
    if ($remote_addr = 203.0.113.10)          { set $mantenimiento 0; }
    if ($mantenimiento)                       { return 503; }

    # … lo que ya tuvieras aquí (try_files, fastcgi_pass…)
}
# El error_page 503 y el map de la cabecera del primer bloque ya cubren esto.

# En http { }: una zona por IP, diez peticiones por segundo.
limit_req_zone $binary_remote_addr zone=porip:10m rate=10r/s;

# En el server { } o en la location que quieras proteger:
limit_req zone=porip burst=20 nodelay;
limit_req_status 429;   # por defecto nginx responde 503, que es mentira (1.3.15 o superior)
# Con el map del primer bloque, cada 429 lleva Retry-After: 10