Não deixar acessar o aquivo php via url navegador

Fala galera eu estou com um probleminha, estou fazendo um sistema que gera pontos para os membros só que para gerar ele tem que esperar por 30 segundos em uma pagina especifica, depois desses 30 segundos eu uso (script) para chamar esse arquivo. até ai tudo bem, mais sempre tem um espertinho que gosta de vasculhar o código fonte e se ele achar o arquivo que está no script ai já era ele vai colocar no navegador e ficar dando enter e gerando pontos sem esperar os 30 segundos.

E ai alguém tem alguma dica de como eu posso bloquear esse arquivo, para que ele só funcione via js e nessa pagina especifica.

eu fiz o teste assim coloquei no .htaccess

<FilesMatch "gerapontos\.php$>
order allow,deny
deny from all
</filesmatch>

ele bloquei na hora, mais tb bloquei para mim chamar ele via js. :(