Как реализовать контролируемый доступ к API из приложения на JS & HTML?

Начну с того, что имеется API с проверками авторизации, токенами и прочей петрушкой.
Также есть десктопное и мобильное приложение написанное на кроссплатформенных фреймворках like PhoneGap, эти приложения взаимодействуют с нашим API (https). Проблема в том, что такие приложения очень просто раздербанить и посмотреть логику работы с API. Как сделать так, чтобы с нашим API могли работать только наши приложения?