Se ho capito una cosa che puoi fare è controllare la window.location.href prima di aprire la tua applicazione in pop-up.
quando monti il bottone dovresti fare qualcosa tipo:

codice:
<script type="text/javascript">
function checkIt()
{
   if(window.location.href=="IndirizzoAmmesso")
   {
       window.open("applicazione");
   } else {
       window.open("errore");
   }
}
</script>

<input type="button" value="Apri Applicazione" onclick="checkIt();" />
puoi anche mettere tutto il codice nella funzione "onclick" del bottone.

Bada che questo non ti garantisce che la tua applicazione non venga eseguita da altri siti, perché chiunque monta il tuo bottone può cambiare la funzione.

Supponendo che l'applicazione sia sviluppata con una qualche tecnologia web, dovresti controllare nell'applicazione stessa se l'indirizzo da cui proviene la chiamata è uno di quelli ammissibili.