Если без внешних сервисов — можно попробовать пару простых трюков: таймер на отправку формы (чтобы бот не успел быстро залить), скрытое поле, которое люди не заполняют, а боты обычно ковыряют. Ещё капчу свою простую можно сделать, без гуглов всяких — типа простого вопроса или арифметики. В большинстве случаев этого хватает, чтобы отсеять базовый спам.