Создание идентификатора сеанса на стороне клиента при первом доступе и сохранение его на сервере.во второй раз API доступа проверяют тот же идентификатор сеанса, присутствующий на сервере, или нет, если он присутствует, затем получают доступ, иначе отказывает.