Quando si controlla l'intestazione Origin e Referer per la protezione CSRF, anche lo schema deve corrispondere?

Avrei pensato che il nome di dominio (incluso qualsiasi sottodominio) attraverso la barra finale sarebbe stato sufficiente (come subdomain.example.com/ o subdomain.example.com:2082/ ), ma ho visto anche dei riferimenti per controllare lo schema.