dipende da come crei window.open, se lo crei con un click su un link, il referrer c'è

A quel punto, nel momento in cui non c'è o non è quello atteso, neghi l'accesso.