HTTP_REFERER è un dato che viene impostato dal browser dell'utente, significa che, tra le altre cose, potresti trovartelo vuoto o manipolato dall'utente