Обход WAF Cloudlare

Всем привет! Недавно я задумался над темой rate limiting, а если точнее, то как сайты блокируют массовый спам/автоматизированные запросы, например брутфор, речь не о SYN/UDP flood. И у меня появился вопрос: может ли один только WAF, например Cloudflare, полностью справиться с этой задачей, или нужно еще в логике приложении прописывать rate limit? И если rate limit обеспечивается только на уровне WAF, то как это можно обойти?