Капча которая не пускает ботов на сайт

pavlkonst #:

А 90% самого тупого и массового фрода как раз и идет без JS. Простые парсеры, сканеры, DDoS-боты - они все работают на уровне HTTP-запросов и твой скрипт даже не увидят

Вместо JS скрипта нужно делать серверный API. Сайт отправляет на твой сервер данные о посетителе (IP, User-Agent), а твой сервер в ответ говорит бот или не бот. Это гораздо надежнее

Николай #:
Вот тут вы ошибаетесь. Сторонний PHP скрипт на сервере включает функцию бога.  Сложно уследить какую именно переменную разработчик внедрит.

Даже не заметите как начнет удалять страницы и это в лучшем случаи, в худшем будет по тихой влиять на контент годами. 

Сторонние JS скрипты более безопасны так как у них нет доступа к изменениям файлов на сервере.

Сторонние JS всегда можно отключить. А вот внедренный вредоносный код через PHP найти очень сложно.