Ну тут не всё так однозначно. Honeypot и тайминги работают, но современные боты быстро адаптируются. Капчи раздражают, но иногда без них никак. Главное, не перегибать, а комбинировать методы, чтобы не отпугнуть реальных юзеров. И про серверную проверку забывать точно не стоит — она базовая и обязательная. В итоге, защита должна быть именно многоуровневой, иначе толку мало.