Как защитить свою форму от спама извне?
Капча должна проверяться на сервере.
Вопрос "что если" некорректен. Правильно "когда боты начнут массово долбиться в эту форму".
Простейший вариант, отбрасывающий ботов - это скрипт на странице, который при отправке формы из браузера заполняет в ней невидимое поле нужными данными (например, подсчитанной длиной сообщения).