Отключил admin-ajax.php — не работают скрипты

как не дать злоумышленникам ддосить файл и при этом работать скриптам?

В таком случае только один вариант — выбрать подходящий хостинг, где стоит, вкупе с программным, ещё и «аппаратный» антиDDoS.

А в вашем случае, вероятнее всего, существуют более жёсткие ограничения со стороны хостера, — память, процессор, узкий канал, лимит http-запросов или что-нибудь ещё, по сравнению с другими «классиками» рынка.. Поэтому возникает такое недоразумение. И дело не в самом файле. Не будь его, то аджакс «стучался» бы по корню /, как пример. Вы бы тогда сайт заблокировали? 😀