[Nexus]

Все эти заголовки, рефереры, подделываются легко

Из браузера заголовок Origin подменить не выйдет, другое дело, если это будет сервер.

В общем согласен с вами, что привязка ключа к домену - не защита вовсе.