Сам недавно столкнулся с проблемой спама в формах и понял, что просто капча — не всегда решение. Добавил скрытое поле honeypot и проверку времени отправки — помогло сильно снизить количество мусорных заявок. Главное, чтобы проверка не раздражала пользователей, иначе они просто уйдут с сайта. Пока что этого простого набора хватает, чтобы не париться сильно.