$_SERVER['HTTP_REFERER'] è tutto tranne sicuro, in alcuni browser si può cambiare o semplicemente non inviare, ...

Dunque non basarti su questo se vuoi esser sicuro al 100%