問題はcookieの発効基準と、主に初期における発効方法だな

通常のユーザには発効させる、しかし荒しには発効させない
そういう状況をどうやって作り出すかがポイント