Раньше капчи были почти единственным спасением, но раздражали народ жутко, конверсия проседала. Сейчас же проще делают — скрытые поля (honeypot) и контроль времени отправки формы, почти незаметно для юзера, но спам режет прилично. Так что всё по-умному: не тормозить нормальных, а боты пусть мучаются. Серверная проверка — святое, без неё любой щит поломается враз.