Как защитить header и узнать откуда GET данные?

Question

[Евгений Естьфамилия]

Двойной вопрос, чтоб не захламлять

При нажатии "войти" пользователя направляет на файл где есть header, оттуда пользователя направляет на api.site (на другой сайт где пользователь подтверждает что это он), после подтверждения, пользователя возвращают обратно на мой сервер с GET-данными.

1. Как защитить header ? Потому как этот переход сохраняет урл ссылку с редиректом в браузере пользователя, и как небольшая проблема виден мой ключ от api.site который мне предоставили. Можно ли как то зашифровать или любые другие варианты?

2. Как моему серверу определить что GET данные пришли именно от api.site ? Ведь ap.site может только GET данные прислать, естественно его тоже видно в браузере. Пробовал с помощью $_SERVER['REQUEST_URI'] , но там только переменные, больше ничего