Запросы к сайту в обход Cloudflare?
Если подключили недавно, то не у всех успели DNS-записи обновиться. Если злоумышленник знает ваш IP за Cloudflare, он может задудосить вас напрямую в любом случае, потому если поставили Cloudflare перед вами ради защиты от DDoS - рекомендуется поменять IP'шник вашего сервера на тот, о котором злоумышленник ничего не знает. Ну и дополнительно - запретить к веб-серверу доступ напрямую, разрешить только с IP-адресов Cloudflare.
Ну и напоследок, настроить nginx так, чтобы он доверял Cloudflare и подставлял IP-адрес в remote_addr: nginx.org/ru/docs/http/ngx_http_realip_module.html
Вопрос: как они попадают на сайт? Разве не весь трафик направляется через cloudflare? Выбрана защита доменного имени сайта или некого диапазона сетевых адресов? 
Сетевой адрес, к которому привязан домен из пула адресов Cloudflare?
Инженеры Cloudflare вроде как дают рекомендацию по закрытию доступа со сторонних адресов к на твой ip, кроме их подсети. Эта рекомендация выполнена?