xmoonlight

CORS не имеет ничего общего с API. Т.к. это - браузерная технология и используется для скриптов внутри браузеров.

Простой принцип разделения:
1. Для всех - список параметров без ключа.
2. Для себя - список параметров с неким ДИНАМИЧЕСКИМ ключом (токен подписи) и формулой его генерации, которая известна только Вам.

Теперь, защита от перехвата (лучше делать, даже если есть SSL):
1. На сервере храним формулу генерации подписи запроса на основе входных параметров запроса к API и временной метки.
2. При обращении к функциям "закрытого" API (для личных целей) Вы формируете подпись запроса, предварительно СИНХРОНИЗИРУЯ время с серверным, и затем, согласно формуле, отсылаете на сервер.
3. Сервер, зная формулу делает тоже самое и сверяет значения присланной и полученной (по той же формуле на стороне сервера) подписи: если они не совпадают ИЛИ просрочена ИЛИ это дубликат - сервер запрос к API отклоняет, иначе - запрос исполняется.
4. Сервер кэширует запрос на время погрешности синхронизации, чтобы предотвратить повторное использование идентичного запроса посредством MiTM-перехвата.

Образец, который мне нравится в целом.
RESTful API

Посоветую немного другой подход: это пересечение коридоров средней несущей сигнала для пиковых значений (или коридор отклонений).
1. Берём нормализованный сигнал (ось x: время, ось y: амплитуда) и строим среднюю кривую.
2. Затем, делаем допуск на погрешности: увеличиваем толщину кривой и получаем доверительную зону, в которой мы будем рассматривать сигнал.
3. Затем, пересекаем зону из только что полученного входного сигнала (с микрофона) со всеми хранимыми эталонными зонами (одна такая зона - один заранее записанный голос человека с применёнными преобразованиями из п.1 и п.2).
Максимальное совпадение зон при пересечении (наложении) даст искомого члена семьи.

Проверьте A-запись DNS по IP-шнику. Если есть - значит это домен/сайт. Ну и дальше - решайте.

1. Авторизуетесь и получаете токен (он же и есть ID-сессии).
2. Подписывайте этим токеном запрос к API (хэшируете) и отправляете запрос с токеном на сервер: в отдельном заголовке или как один из параметров при вызове API (лично я - предпочитаю 2-й вариант (аналог jwt): шифровать и тестить мне проще).

UPD: вот тут - продолжение...

Тут всё просто:
Каждый запрос - фиксируем в таблицу БД (желательно в Redis): [IP], [логин], [timestamp], [кол-во запросов за час].
Превышение нужного порога - блокируем доступ к API, через занесение записи в таблицу BAN-ов: [логин/IP], [время, когда разрешить доступ]