То, что вы хотите сделать, - это чтобы ваш сайт генерировал безопасный набор учетных данных для учетной записи пользователя, аналогично имени пользователя / паролю, но только для использования API. Кроме того, не позволяйте этому новому набору учетных данных выполнять такие действия, как удаление учетной записи пользователя или изменение адреса электронной почты.
Кроме того, предоставьте пользователям возможность изменять свои учетные данные API, если они этого хотят (в случае, если третье лицо получает их, а пользователь больше не хочет, чтобы у них был доступ).