Запретить доступ боту к серверу

У меня есть приложение для Windows Phone, которое может отправить php регистрацию для одной учетной записи. Один пользователь с этим приложением может создать макс. 3 аккаунта ..
Но я ошибаюсь или хакер не может найти ссылку на php, куда я отправляю регистрацию?
Поскольку я написал ссылку для этого php только в коде, где я думаю, что хакер не может получить к нему доступ (wp безопасен, или я ошибаюсь?)

Если я не прав, как я могу запретить хакерам регистрироваться бесконечно много раз с этой страницей php?
Если я не ошибаюсь и хакер не может получить xap, где находится код, я могу просто не использовать защиту для php, верно?