Алексей

Предлагаю использовать Google Cloud Messaging (GCM).

Устройство регистрируется в GCM, получает registrationId – токен, – сохраняет его у себя локально и передает вашему серверу. Далее пуш-сервер использует этот registrationId для отправки сообщений вашему приложению на этом устройстве. В сообщении передайте сгенерированную на сервере строку. Эту строку приложение должно вернуть серверу. И только после совпадения строк разрешаете для этого устройства доступ к API.

Таким образом доступ к API будет только у вашего приложения. Даже, если кто-то расковыряет приложение, или создаст его клон, то оно не пройдёт валидацию и не сможет получать ваши push'и. Ни менять API, ни шифровать запросы/ответы, ни переходить на https и т.п. вам в таком решении не потребуется.

Речь о контенте внутри приложения доступного из поиска. Пользователи через мобильный поиск хрома хотят перейти на соответствующий ваш контент внутри приложения, а приложение его не открывает. Гугл это заметил и убрал эти ссылки из поиска. Что-то с манифестом накрутили, указали что приложение поддерживает deeplink, а по факту - нет.

Вот эту либу для подобного использую.

Библиотека для совершения покупок внутри приложений (Android In-App Billing v.3)
habrahabr.ru/post/233265