Как повысить уверенность в том, что кнопка была нажата живым пользователем на сайте и избавиться от капчи?

Нужно, чтобы имена полей в форме не имели смысловой нагрузки.

А как же автозаполнение? Лучше ввести 4 цифры капчи, чем вручную заполнять все поля заказа. А как же сохранение логина/пароля?

Уж если есть задача защититься от универсальных роботов без капчи, то лучше исходить от обратного: роботы заполняют поля с понятными им названиями. Добавляем такое поле, делаем ему display: none; и autocomplete=off, а на сервере проверяем его наличие и пустоту.