Задайте сначала себе вопрос, какую информацию вы собираетесь защищать в этом API.
Если это какой-нибудь обычный html-контент, доступный по гет запросам - то просто забыть, его защитить нельзя.
Если у вас "деньги накручивать" можно таким образом, то нужно пересмотреть решение задачи, т.к. такие операции должны выполняться только авторизованным пользователем.