Как встроить защиту от спама в contact form?

Капча отпугивает до 80%-ти пользователей.
Это самая плохая идея которая может прийти в голову вебразработчику.

Да неужели. Капча гугла равносильна клику по чекбоксу. Правила GDPR создают больше возни, чем капча.

https://developers.google.com/recaptcha/docs/invisible

А так можно форму при помощи js стоить, можно аяксом грузить, скрытое поле значение которого меняет js и потом на сервере проверяется. Все эти способы хороши если к вам случайный дятел залетел. А если ваш сайт будет посещаемым, то под него будут адаптироваться.