[...] aber ich vermute, dass die Spam-Bots darauf ausgelegt sind, weit verbreitete Foren-Software zu überlisten, und ich persönlich halte die Dinger nicht unbedingt für besonders intelligent.
Da gibt's solche uns solche. Die meisten analysieren die
HTML-Formulare und auch bei selbstgeschriebenen Seiten füllen die das z.T. korrekt aus. Je aussagekräftiger dein Code (eigentlich guter Programmierstil), desto leichter haben sie es. id="email" verrät den Bots gleich, dass dort eine Mail-Adresse hin muss. Aber die probieren auch gerne mal wild durch.
Das ist die Erfahrung, die ich mit einigen Websites gemacht habe.
Jetzt wird man mir sagen "wer kennt diese Seite schon, finden die Bots das überhaupt??"
Wieso sollte ich mich das fragen? Sobald deine Seite irgendwo verlinkt ist oder gar in Suchmaschinen auftaucht, finden Bots die auch.
Meine Empfehlung ist deswegen es selbst zu bauen, nichts vorgefertigtes zu nehmen, und es 'langsam' anzugehen.
Es gibt brauchbare vorgefertigte Captchas, aber selbst die einfachsten eigenen Hindernisse (habe oben Beispiele erwähnt) reichen normalerweise völlig. Es gibt auch Möglichkeiten, ohne Captchas Bots zu blocken. Diese verstehen z.B. noch kein JavaScript, zumindest ist mir noch keiner untergekommen, der JS interpretiert. Gut, das sperrt die Leute erstmal aus, die das im Browser deaktiviert haben, aber es gibt auch andere Lösungen.
Es gibt z.B. diverse Foren, wo man, obwohl man ein Mensch ist, das falsche Captcha eingibt, weil da so viele Linien, Verwischungen und so weiter drin sind, dass es kaum noch lesbar ist... Die Seite sollte also benutzbar bleiben und die Bots abwehren - nicht dazu noch menschliche Benutzer, wovon einige Foren meiner Meinung nach nicht weit entfernt sind...
Ganz meine Meinung. Das ist das, was ich oben auch angesprochen habe.