Во-первых, почему они не используют OAuth 2.0 ...
Вы можете хранить учетные данные OAuth в файле cookie или, что еще лучше, в локальном хранилище HTML5. Он должен быть зашифрован, чтобы только сервер имел доступ к этому файлу cookie, и только сервер мог использовать токен. Кроме того, это должен быть безопасный файл cookie, чтобы предотвратить его утечку. Сделайте хотя бы один из этих двух (безопасный, зашифрованный).
Но имейте в виду, что куки могут быть потеряны, и если они войдут на ваш сайт, они не будут работать с других компьютеров.