Я думаю, вы пытаетесь достичь этого.

Большая часть корпоративных приложений развернута на другом сервере для масштабируемости и безопасности. Если ваш API развернут на отдельной виртуальной машине, вы можете разрешить доступ к нему только вашей виртуальной машине, это лучшее и простое решение.
Другое решение
Вы можете также передайте некоторый пользовательский параметр в заголовок httpClient
и этот параметр вы можете проверить в веб-API (вы можете создать собственный фильтр и применить его ко всем контроллерам).