Как спастись от спама?
то самое странное, те спамные письма, которые приходят, имеют в поле с ограничением по числу вводимых символов, меньше символов чем дозволено. 
Видимо защита на клиенте, а это никак не мешает отправить post запрос. Сделайте ajax форм и запретите кроссдоменные запросы. Ну и валидацию на сервере реализуйте обязательно.
Вообще валидация на клиенте, это не защита, это удобство для пользователя. Она обходится без проблем. Так что если и реализовывать валидацию, как защиту, то на сервере.
reCATPCHA попробуйте, ну или свое что-то пишите.
Технологии спамеров не стоят на месте, финт с пустым полем уже давно не спасает толком.