Sim, é possível forjar tudo numa requisição HTTP. Nunca confie em dados vindos do lado cliente.
Independentemente da sua arquitetura, se seu servidor está se comunicando com outros sistemas é imprescindível que esses sistemas estejam autenticados. A maneira mais garantida de se fazer isso é via SSL/TLS, com certificados tanto no lado servidor quanto no lado cliente. Dessa forma garante-se tanto a autenticidade da comunicação como também sua confidencialidade.
Em um cenário web (http server + browser) costuma-se usar um certificado de segurança no lado servidor, esse assinado por uma Autoridade Certificadora (CA). No lado cliente, o usuário se autentica com um nome de usuário e senha. Alternativamente, usando também um certificado, mas isso é raro. A forma como isso é feito é autenticando somente o servidor durante o aperto-de-mão (handshake) do SSL/TLS e - estabelecido um canal seguro de comunicações - usa-se esse canal para transmitir os dados adicionais de autenticação (usuário e senha do cliente). Uma vez que este esteja também autenticado, ambos compartilham uma chave secreta (session key) que é verificada a cada requisição individual (no browser, essa chave fica normalmente num cookie).
Esse é o modo mais comum de operação, mas não é o mais adequado para casos em que um sistema se comunica com outro sistema. Se você possui controle sobre todos os sistemas envolvidos, em primeiro lugar você não precisa pagar a uma CA para assinar seu certificado - você o instala manualmente em cada cliente que for se comunicar com seu servidor. Além disso, cada máquina cliente pode também ter o seu próprio certificado, esse registrado na máquina servidora. Ao estabelecer a conexão segura, tanto o cliente valida o certificado do servidor, quanto o servidor valida o certificado do cliente. Uma vez estabelecida essa conexão, pode-se então confiar 100% nela, e usar todos os métodos HTTP à vontade, não importa se é GET, POST, ou outra coisa.
Verifique na sua plataforma como é o suporte a SSL/TLS e autenticação por certificados. A título de exemplo, Java possui o SSLSession
e C# o SslStream
. Como exatamente implementar isso é algo que infelizmente não tenho experiência suficiente para ajudar. De todo modo, independentemente de você seguir ou não essa sugestão, é importante que a autenticação dos clientes seja feita de algum modo, não confiando no Referer ou em qualquer outro parâmetro da conexão.