Нужно дебажить код. Найти место, в котором выполняется запрос с pkey. И через стек вызовов в обратном порядке найти место где он формируется.
Это может быть математика на основе какого-то рандомного значения из кода страницы, из куки или из другого запроса к серверу.