JS тут вообще не нужен, работает это так:
1. Генерируешь на стороне сервера секретный токен для конкретного пользователя или сессии, подставляешь его в урл к своему скрипту, в итоге получаешь yoursite.com/script.php?token=secret
2. На стороне сервера отправляешь получившийся урл в short2win через его API и получаешь от него сокращённую ссылку. Его API я не видел, поэтому кури документацию.
3. Сокращёную ссылку подставляешь в кнопку Claim и только после этого отдаёшь страницу пользователю.
4. Пользователь кликает по кнопке выполняет нужные действия и возвращается к тебе на сайт по ссылке yoursite.com/script.php?token=secret
5. Проверяешь куку, если это тот же пользователь/сессия, а не робот, то начисляешь награду.
Ага, вот оно как, спасибо большое, в принципе мысли и сводились в сторону токена. Поставил бы плюсик, но либо я не вижу где его поставить, либо с моим рангом этого нельзя сделать, но в любом случае еще раз спасибо.