Ti ringrazio molto M4rco, in effetti penso che potrebbe andare bene $_SERVER['HTTP_REFERER'],perchè è vero che la querystring può variare ma arriva sempre dallo stesso host quindi la posso considerare attendibile, è la risposta di esito di una transazione dal sito della banca.