Как заблокировать доступ к сайту на nginx

авторизацию прикрути

В зависимости от «степени защиты», magic-header может быть достаточно.

ref: http://stackoverflow.com/questions/18970620/nginx-reject-request-if-header-is...

можно по юзер-агенту еще. но опять же, от целенаправленного взлома это не решение.

Проблема в том, что авторизация тоже не решения т.к. фронт к беку обращаться через Ajax напрямую, поэтому авторизация не решит проблемы, просто выдрут логин и пароль из js, плюс сложность еще состоит в том, что сам фронт лежит на хостинге и особо поиграться с конфигами не получиться. И тут такой еще момент, что ломать будут в любом случае т.к. информация на сайте будет очень актуальная для СЕО, и как я уже понимаю зарыть его по домену не выйдет, сама идея с доменом возникла из за того что от какого домена идут запроса я еще могу узнать, а вот ip зараза всегда разный, точнее он тот от кого шлются ajax запросы.

Генерируй magic-header же, как советовали выше.

А, вообще, ты порешь чушь. Обратись к системному администратору. За деньги.

Проблема в том, что авторизация тоже не решения т.к. фронт к беку обращаться через Ajax напрямую, поэтому авторизация не решит проблемы, просто выдрут логин и пароль из js

А ты авторизуй на бэке по клиентским ssl-сертификатам и magic-header'у. И никто ничего не выдерет.

+1 за клиентские серты.

Авторизовывать надо пользователя, а не фронт.