Нет способа сделать это, используя только ключи API.Вы можете попытаться сделать что-то вроде принятия определенных ключей API с определенных IP-адресов, но с этим связано множество проблем.Единственный способ сделать это надежно - заставить ваших клиентов проходить аутентификацию.
Вы можете сделать это с именем пользователя / паролем, где им нужно отправить их вам для проверки, и вы можете проверить, есть ли у этого имени пользователя доступ к плану / услуге.Вы также можете сделать это с помощью взаимно аутентифицируемого SSL, когда вы выпускаете самозаверяющие сертификаты идентификации клиентов для своих клиентов, и они используют их для аутентификации при подключении к вашим услугам, а затем вы можете проверить, есть ли у этого клиента доступ кплан / услуга.Обратите внимание, что вам потребуется реализовать SSL в любом случае, так как вы не хотите, чтобы имя пользователя и пароль передавались по стандартному HTTP.