xmoonlight он предложил передавать данные через сервер, т.е. не напрямую из браузера. Мне показалось это очевидным, поэтому я подумал, что он имел в виду это...
А длительность сессии будет проверяться тем же сервером, на котором хостится сайт с формой? Тогда не проще ли этому серверу самому отправить данные (с токеном), как предложил Philipp
P.S.
JS в браузере - это только 1.
В браузере, но не обязательно с помощью JS, просто обычная форма с адресом API в action.
Да, примерно так по сути.