Есть несколько потребителей API под разные платформы, как ограничить для разных пользователей?

Коллеги, подскажите пожалуйста. Есть API, есть несколько разных десктопных приложений (и будет ещё веб), которые его потребляют. Данные для всех одинаковые. Клиенты могут купить доступ не ко всем приложениям, и необходимо из остальных их не пускать. Ну понятно, что можно передавать на сервер из приложения, откуда мы подключаемся.
Но как застраховаться например от такой схемы: человек где-то раздобыл приложение, к которому он не имеет доступа, и сделал рероутинг запроса. Ну т.е. прописал в фаерволе правило типа если запрос идёт на https://www.example.com/api/endpoint?client=SOME_APP_1, то перенаправлять его на https://www.example.com/api/endpoint?client=SOME_APP_2. Насколько я помню, в каком-нибудь ipfw или сопоставимых по уровню это вообще элементарно делается.
Есть ли какие-то типичные схемы, как этого избежать?
Спасибо.