匿名用户的安全实时聊天代理小部件（体系结构）

问：

我目前正在从事一个项目，涉及开发一个实时聊天小部件，旨在嵌入到我们合作伙伴的网站上。为了促进这一点，我们有一个 API，我正在寻求有关向客户提供这些小部件的最佳方法（架构）的指导，同时确保 API 保持安全，防止未经授权的访问。

匿名用户能够访问我们的聊天小部件非常重要。为了实施安全措施，我能够向客户请求特定信息，例如主机名和 IP 地址。此外，我可以为他们提供安全令牌。

如果您能分享任何最佳实践或指导我阅读涵盖防止未经授权调用我们 API 的策略的文章，我将不胜感激。