сесии, kaptcha + дополнительные вопросы, можно еще от https - ну что бы усложнить жизнь автонакручикам. Если будет человек накручивать через прокси - них не зделаешь. Имхо заноси все заголовки в базу и $_SERVER["HTTP_X_FORWARDED_FOR"] и $_SERVER["REMOTE_ADDR"] потому как "HTTP_X_FORWARDED_FOR" поделать 5 минуть делов.