Ne Mischung aus Cookies und Zeit ist wohl ok.
Und was soll das bringen? Jeder halbwegs gut geschriebene Bot kann miut Cookies umgehen. Und wenn er diesen nach der Eintragung löscht, kannst du deine "Wartezeit" knicken. Oder wie willst du ohne Cookie prüfen ob der Bot schonmal da war?