Думал, что настроить защиту форм на сайте займет вечер, а уже третий день читаю про капчи, токены и верификацию по телефону. Всё звучит убедительно, но непонятно, что из этого реально работает. Кстати, кто-нибудь сравнивал проверку через звонок и через мессенджер по надежности?

Звонок, на мой взгляд, чуть надежнее. Боты крайне редко умеют имитировать реальный номер с доступом к нему. Мессенджер удобнее для пользователя, но требует, чтобы тот был зарегистрирован в нужном приложении.

Выбор метода сильно зависит от аудитории сайта. Если среди ваших посетителей много людей старшего возраста, мессенджер создаст барьер, а звонок воспримут естественно. Именно поэтому нормальный антифрод на сайте должен поддерживать оба варианта и позволять переключаться. Например, посмотрите возможности сервиса https://tot-kod.ru/ Там есть логи по каждой попытке верификации. Это помогает понять, где именно теряются реальные заявки.