Proteger una API casera de un flood sin gastar un euro

Sirvo varias APIs públicas desde un Mac mini de casa. Esto es cómo evité que un flood me tumbara la máquina entera: rate-limiting gratis en Cloudflare y locks no bloqueantes en el origen.