У меня простой вариант — поставил honeypot и добавил проверку времени между загрузкой страницы и отправкой формы. Спам реально упал, а пользователям не мешает. Капчу не ставил, чтобы не пугать людей. Иногда еще фильтрую email и проверяю user-agent, чтобы отсеять совсем ботов. В общем, проще не бывает, а толк есть!