Über die JS Seite der Medaille weiß ich nicht bescheid. Der Referer-Pseudo-Schutz den ich meinte bezieht sich auch auf den HTTP Referer. Der wird vom Browser nämlich auch gesetzt wenn er Ressourcen, wie Bilder nach lädt. Aber auch der kann ganz einfach ausgetrickst werden über Browser-Erweiterungen.