Kampf gegen Spam ist ein Kampf gegen Windmühlen. Um das einzuschränken, gibt es ja schon die Timeouts, das juckt die Bot-Systeme aber nicht, genau so wenig wie Captchas und E-Mail-Authentifizierung.
Ich hatte damals ein System eingebaut, um IP-Pools und E-Mail-Pools zu sperren. Keine Ahnung, ob das noch gepflegt wird. Aber auch das ist Don Quijote. Und Anti-Spam-Dienste kann man in der Regel nicht einsetzen, weil die großen (wie Akismet) nicht DSGVO-Konform nutzbar sind. Die übertragen Plain IP- und E-Mail-Adressen an Server in Drittländer.