обычно там передается небольшой js-скрипт в котором даны инструкции как посчитать кукис и когда отправить редирект браузеру, на стороне сервера потом проверится и пустит дальше, иначе снова попросит посчитать.

боты которые послылают миллион запросов как правило тупые и не выполняют js поэтому отсекаются на 90% такой простой проверкой