вообще по идеи, лучше сделать наподобие /reg.php?reg=gf4r321r2
где reg=gf4r321r2 уникальное значение для реги пользователя в этот час/день/неделю.
можно сделать вывод reg=md5(IP+DAY), т.е. reg=md5(100.200.251.214+11.01.2013)
получаем /reg.php?reg=34fdsfsfdasfsdfasdfasd (примерно).
разумеется ссылка на регу выводится на сайте и меняется автоматически.
если бот заходит по /reg.php то получает фальшивую форму реги, где он её заполняет и радуется, успешной реги.
(необязательно и громоздко) как вторая ступень защиты прикручиваем API BanList, который чекает IP адресс, и если он находится в BAN List. Кидаем на контакты админа, что в случае ошибки, пользователь мог зарегистрироваться