Антиспам для PHP-форм: что реально сработало у вас?
 

Пару раз пробовал разные варианты защиты форм на PHP и хочу поделиться наблюдениями. Самая базовая штука — обычный скрытый инпут с ловушкой (honeypot). Для ботов часто работает: если поле заполнено — значит робот, отбрасываем. Но иногда умные боты уже игнорируют такие поля, так что не панацея.

Пробовал капчу, но это раздражает юзеров, особенно если она сложная или медленно грузится. Google reCAPTCHA — вариант, но надо следить за обновлениями и его иногда можно обойти.

Ещё срабатывает проверка частоты отправки и времени на заполнение формы, например, если форма отправлена за пару секунд сразу после открытия страницы — подозрительно. Но тут есть подвох, можно и обычного пользователя “подгонять” случайно.

Недавно наткнулся на сервисы с "чёрным списком IP" и проверкой реферера, браузерных заголовков и куков — помогает фильтровать часть мусорных запросов, но требует настройки и мониторинга.

Ну, вообще тут всё не так просто. Honeypot штука простая, но продвинутые боты уже научились их пропускать. Капчи раздражают честных юзеров, а всякие проверки по времени — это тело с двойным дном, можно и нормальных завалить. В итоге какой-то универсальной защиты и нет, всё равно приходится миксовать и следить постоянно.

Тоже с honeypotами сталкивался — сейчас боты реально умнее стали и часто их пропускают. Капчи убивают опыт, но иногда без них никак. Сам смешиваю проверку времени с простым блоком по user-agent и иногда добавляю лёгкий JS-чек — помогает от массовых автоматических подписок, без напряга для нормальных людей. Главное — не переборщить, иначе больше вреда, чем пользы.