¿La API HMAC expuesta a través de un sitio público?

(También hice esta pregunta sobre StackOverflow .)

¿Qué pasos puedo tomar para evitar el acceso no autorizado a un método en un controlador no autenticado?

Background

El diagrama a continuación ilustra un micrositio que estamos implementando, y una API HMAC que estamos proporcionando (para varios propósitos) que devuelve datos comerciales confidenciales a consumidores autenticados. Las flechas representan la comunicación deseada (verde) y la no intencional (roja).

Elmicrositionospermiterecopilardatosennombredeuncliente.Sealcanzaráatravésdeunacampañadecorreoelectrónicoasususuarios.Notenemosunarelacióncercanaconestecliente,porloquenoquierocargarlesenresolveresto.

LaAPIHMACestádiseñadaparaelautocompletadodedirecciones.Nohayningúniniciodesesiónparaelmicrositio.Lapáginatieneunaentradadedirección.ParahabilitarlafunciónAutocompletar,lapáginarealizaunallamadaAJAXalmétododesugerenciadeautocompletardelcontroladordespuésdecadapulsacióndetecla.ElmétododesugerenciadeautocompletadorealizaunasolicitudalaAPIHMAC.

Elproblema

Nopuedovernadaactualmentequeimpidaelconsumodelmétododesugerenciadeautocompletardelcontrolador.

Consideraciones

HeleídoqueAnitForgeryTokensnoesútilen Métodos GET o páginas no seguras , y no puedo usar un una sola vez token porque este método se llamará muchas veces.

Pregunta

Entonces, ¿cómo aseguro mi método de controlador?