Предположим, X.com отправит запрос на публикацию Y.com. Откуда вы знаете, что отправителем является X? Без курса строки запроса URL.

$ _SERVER ['HTTP_REFERER'] изhttp://php.net/manual/en/reserved.variables.server.php кажется не ответ. Сама документация гласит: «Этому нельзя доверять».

Должен ли он использовать параметр ключа и секретного ключа?