Gravatar API от Automattic не поддерживает эту функцию. Лучше всего связать пользователя с веб-сайтом Gravatar.
Если вы действительно хотели, чтобы вы могли поэкспериментировать с CSRF, я не проверял, защищает ли сайт Gravatar от этой эксплуатации. В лучшем случае это было бы пятнисто - я не могу себе представить, чтобы кто-то постоянно входил в учетную запись Gravatar, как в свою учетную запись Twitter.
Наконец, вы можете загрузить сайт Gravatar в iFrame, чтобы пользователь не покинул ваш домен.