Сайт за Cloudflare, nginx или балансировщиком

Если перед сайтом стоит прокси, PHP видит его адрес, а не адрес посетителя. Без настройки все посетители будут выглядеть как один и тот же адрес — и защита станет бессмысленной.

Включите доверие к заголовкам прокси:

BotBan::protect('bb_pk_...', 'bb_sk_...', array(
    'trusted_proxies' => true,
));

Тогда модуль возьмёт адрес из CF-Connecting-IP, X-Real-IP или X-Forwarded-For — в этом порядке.

Почему это не включено по умолчанию

Потому что если сайт не стоит за прокси, любой посетитель сможет подменить себе адрес одним заголовком и обойти всю защиту. Мы не можем угадать вашу конфигурацию, а ошибка в эту сторону опаснее.

Включайте только если прокси действительно есть и он перезаписывает эти заголовки, а не пропускает их от клиента.

Как проверить

Откройте журнал визитов и найдите свой визит. Если там ваш настоящий адрес — всё верно. Если адрес прокси или один и тот же у всех — настройка нужна.