referrer kontrol ederek yapabilirsin. $_SERVER['HTTP_REFERER'
ama fake referrer gösterebilirler. header referer bilgisi kolay manipüle edilebilen bir bilgidir.

bunun yerine formun olduğu sayfada zaman ve ip tabanlı bir session oluşturabilirsin.
postun geldiği sayfada bu session ya da ipnin kontrolünü yaparsın.
böylece formun olduğu sayfaya gidip sessionı ya da cookie yi oluşturmayanlar postun geldiği sayfada direk reddedilebilirler.

ben olsam

$_SESSION['formkontrol'] = md5(substr(time(),0,7) . $_SERVER['HTTP_USER_AGENT'] . $_SERVER["REMOTE_ADDR"]);

gibi bir session oluştururum.
sonra bu sessionı postunu geldiği sayfada aynı bilgiler ile kontrol ettiririm.
böylece formun olduğu sayfaya girilmezse, 15 dakika içinde gönderilmezse, ya da farklı bir tarayıcı veya ip adresinden gelirse reddedilir.