Existem várias soluções, algumas mais profissionais outras baseadas na criatividade.
Campo oculto para "humanos"
Uma resposta do SO deu a ideia de criar um campo oculto no formulário. Um programinha "robô" que envia mensagens automaticamente irá tentar preencher esse campo com alguma informação aleatória. Então seu código saberá que se o campo oculto está preenchido alguém andou mexendo no que não devia.
Exemplo:
<!-- este campo não deverá ser preenchido, mas provavelmente os bots tentarão fazê-lo -->
<input type="text" id="nao_humano" name="nome" />
<!-- este campo é o que realmente o usuário deve preencher -->
<input type="text" name="nome_real" />
<!-- o estilo inibe o campo que o usuário não deve preencher -->
<style>
#nao_humano { display: none }
</style>
Serviço com "inteligência" artificial
Alguns serviços fazem o trabalho de identificação de spams. Por exemplo, no meu blog eu uso o Akismet.
O Akismet funciona mais ou menos assim:
- O usuário submete um comentário no formulário
- Um código no meu site recebe a mensagem e a envia para o serviço do Akismet
- O serviço do Akismet verifica o comentário contra uma base de informações sobre Spams
- O Akismet retorna dizendo se a mensagem é um spam em potencial ou não
Obviamente, há uma certa preocupação sobre a segurança desse processo. Num blog público não há dificuldades, mas para uma empresa que recebe informações de clientes o tráfego da informação para um servidor de terceiros pode ser um impeditivo.
Detectando comportamento humano
Outra ideia que vi há algum tempo por aí é detectar eventos no site para validar se alguém está realmente digitando a mensagem.
Fazer isso é relativamente simples. Primeiro, gere um código aleatório e coloque na sessão do usuário. Imprima esse mesmo código em um bloco Javascript dentro da página:
var codigo = 'CODIGO_GERADO';
Depois acrescente um campo oculto e inicialmente vazio no formulário:
<input type="hidden" name="validacao"/>
Agora crie um código em algum evento como mouse over ou key up na página que preencha o campo validacao
com o valor codigo
.
Finalmente, o servidor deverá validar de o campo validacao
veio com o código. Para driblar alguns spammers mais espertos, o nome desse campo também pode ser aleatório.
Conclusão
Enfim, em minha opinião, a criatividade é quem manda nesse ponto. Quanto mais diferente e criativa sua solução, mais dificilmente os spammers irão detectá-la.
Isso só vai mudar se sua solução for largamente adotada e chamar a atenção de alguma forma, por um bom método deve permitir variar a validação facilmente.