Uma pergunta bem parecida com a sua foi feita no StackOverflow em inglês. Uma resposta, que eu traduzirei (pois estamos no SO em português) de maneira livre a seguir, está particularmente completa, na minha opinião, e traz as considerações mais úteis para o seu problema.
Considerando que o cliente (browser do usuário) pode enviar qualquer
coisa que ele queira, eu diria que não há como ter certeza de qual
site seu script é chamado:
- Uma vez que você quer saber o URL do site que embute seu widget, e não o endereço do usuário,
$_SERVER['REMOTE_HOST']
não ajudará
$_SERVER['HTTP_REFERER']
pode parecer OK, mas na verdade não é:
- O cliente não tem que enviar [o HTTP_REFERER] e nem sempre o faz
- Como ele é enviado pelo cliente, ele pode ser forjado/falsificado com facilidade
Então, eu diria que não há uma solução real para este problema, pelo
menos no lado servidor (se eu estiver errado, estou interessado em
saber!)
Mas talvez você possa fazer alguma coisa no lado cliente: enquanto
estava escrevendo tudo isso, pensei no Google Maps e seu sistema API
Key:
- você tem uma chave (única) de API para o seu domínio
- quando você carrega os scripts JS do Google, você envia esta chave
- se a chave não é registrada para o domínio do qual você está tentando exibir o mapa, há uma mensagem
alert
, dizendo que "o
servidor da API do Google Maps rejeitou sua requisição. Isto pode ser
devido à chave de API usada neste site ser registrada para um site
diferente."
- mas o mapa parece ser exibido de qualquer forma -- pelo menos no meu servidor de teste
- este
alert
é realmente chato para o usuário final, e eu não acho que ninguém gostaria de uma mensagem ser exibida em seu site
porque estão usando o serviço sem autorização...
Talvez você possa dar uma olhada em como isso é feito no Google Maps
:-)
seusite.com/?from=outrosite.com
@nome_do_usuário
para que ele receba uma notificação.