Есть рецепты по определению на лету бот / не бот с помощью РНР?

Тогда только через Javascript.

С помощью PHP очень немного случаев можно отследить.

Т.е. тупо перебирать по вхождению в агент? Если да, то хоть списки есть более-менее вменяемые, по чему отбор делать, чтобы самому велосипед не изобретать?

function _bot_detected() - http://stackoverflow.com/questions/677419/how-to-detect-search-engine-bots-with-php

дани мапов, понял, спасиб, примерно так щас и делаю.

Поставьте метрику, она показывает % ботов, плюс свой счетчик по логам веб-сервера, да и всего делов.

Я б поставил, но мне нужна стата по условиям, которые видит только РНР, а метрика не видит...

Боты крайне редко грузят картинки.
А те кто грузят, обычно грузят так же и невидимые картинки (которые не грузят браузеры).
Поэтому делаем так что бы на странице была видимая картинка (пусть даже логотип или пустую 1х1) и невидимая (в слое дисплей-нон).
А потом смотрим по логам апача
а) если в один запрос было обращение к странице но не дергались картинки - скорее всего бот
б) если в один запрос было обращение к странице но дернулись обе картинки - скорее всего бот
в) если же дернулась сама страница и только видимая картинка - скорее всего человек

От ботов на headless браузерах не особо спасает, но ими пользуется очень мало народу, т.к. ресурсы жрут безбожно.

Выявление ботов, это важная задача. Есть особи, которые невидны, ни каким метрикам и яваскриптам. И, к стати, именно такие боты и  убивают сервер своими запросами.  Но это уже не в тему:)