Мне кажется, это неверный подход. Куки могут быть и отключены, яваскрипты могут быть отключены и т.д. Тот же Яндекс понимает, куда ведет IP, на реального пользователя или бота, как он это делает, по каким признакам? Понимаю, что у него больше возможностей, он, к примеру, может видеть, где светится одновременно один и тот же адрес. Я как то рассказывал историю о том, как меня заблокировали на одном видеочате. Я даже не увидел формы авторизации ни под тором, ни в одном браузере. Вот как они это сделали? Здесь явно не те механизмы, которые я использую. Возможно, они как то через JavaScript получают контрольную сумму машины. Помните, старые программки защиты дискет? Сумма складывается в зависимости от установленного оборудования и его идентификаторов. Вынул какую нибудь плату - все, сумма меняется.
Многие задают вопросы по защите от ботов. Капча - простейший вариант. Но если ее выводить только при подозрении на бота, работать с сайтом станет гораздо легче.