kontrol.php dosyasının Ajax haricinde direk tarayıcı üzerinden çağrılmasını engelleyebilirsin, buna ek session zaten olmak zorunda, verileri istersen base64 encode olarak gönder merak eden uğraşsın biraz.