Да нет, прикол не в том Смотри внимательней, на второй картинке поле HTTP_REFERER.

При заходе по якобы безопасной ссылке - Referer очень даже успешно передаётся!