Não confie também em nenhum cabeçalho HTTP, eles podem ser facilmente simulados.
Um cabeçalho particularmente vulnerável é o REFERER, usado por alguns aplicativos para identificar a página de origem e eventualmente dar maiores privilégios neste caso.
Veja um exemplo em ASP, no qual o programa verifica se a página de origem é a página de login. Caso seja, ele considera que o login foi bem-sucedido.
Este exemplo é extremamente inseguro.
Não confie nos cabeçalhos, armazene os dados em variáveis de sessão.