... lo que te recomendaria seria usar una base de datos, todo lo que sea del lado del cliente sera "violable" por decirlo así.
Para mi con captcha alzanza, yo estuve tratando de violar este metodo y no se me ocurrio nada simple. Es decir el atacante nesesitaria un script o lo que sea capas de identificar caracteres en una imagen...y eso no es algo que se vea todo los dias...