наверно просто referer проверяется, но есть ещё вариант что это не чистые .js и .css, а php скрипты, тогда всё может быть сделано с помощью сессий или чего-то подобного