real_ip_header CF-Connecting-IP;
real_ip_recursive on;

# set_real_ip_fromにはCloudflare公式の
# 最新IPv4・IPv6レンジを登録する

これを行わずにレート制限すると、多数の利用者が同じCloudflare IPとして集計され、まとめて遮断される危険があります。

2. 秘密情報探索を444で切断する

location ~* ^/(?:\.env(?:\..*)?|\.git(?:/|$)|\.svn(?:/|$)|\.hg(?:/|$)) {
    access_log /var/log/nginx/security_drop.log;
    return 444;
}

location ~* ^/(?:backup|backups|dump|database|db)(?:[-_.][^/]*)?\.(?:sql|tar|gz|zip|7z)$ {
    access_log /var/log/nginx/security_drop.log;
    return 444;
}

444はNginx独自のレスポンスで、HTTP応答を返さず接続を終了します。

ただし、正規のZIP配布やバックアップダウンロード機能がある場合は、全拡張子を一律遮断せず、パスやファイル名を限定してください。