Continuo SPAM sul modulo contatti

[Alhazred]

Io faccio così (metto solo i pezzi interessanti)

Nel file con il form

//all'inizio
$a1 = rand(1,9);
$a2 = rand(1,9);
$_SESSION['somma_random'] = $a1 + $a2;
...

//nel tag head, così chi non blocca JS ha subito l'errore
<script type="text/javascript">
    function checkContatti() {
        ...
        if(form.code.value != <?php echo $a1+$a2 ?>)
        {
            avvisi.innerHTML = "La somma inserta non è corretta";
            form.code.focus();
            return false;
        }
        ...
    }
</script>

Nel file che riceve i dati

...
if($_POST['code'] != $_SESSION['somma_random']) 
{
    header("location:result.php?e=wcode");
}
...