Il referrer non e' un metodo per gestire la sicurezza opportuno, visto che dipende dalla HTTP request, che e' generata dal client a suo piacimento. Puo' essere una primissima barriera, ma niente di piu'.