Как строятся серьезные приложения где есть клиентская и админская части?
Для того, чтобы кто попало не лазил по админке используется авторизация. Перенос админки на отдельный домен проблему безопасности не решает.
Берем нормальный фреймворк
Там есть роутинг
Роутинг может использовать несколько доменов
На роутинг вешаем функционал
От ддоса есть cloudflare и аналоги
Оба ваших подхода используются, но к защите от атак не имеют никакого отношения