problema IP:
infatti non parlo di IP, diciamo che proprio non mi interessa e non mi è utile; il concetto è che un sito web di un cliente che usa le mie api perché gli concedo la possibilità di avere un token (ha pagato il servizio) e gli do un codice univoco da allegare alla richiesta = so chi sei dal tuo dominio + hai un token valido + hai un codice univoco --> ti puoi connettere e nella mia tabella sei CLIENTE1
un app qualsiasi dello stesso cliente che usa le mie api perché gli concedo la possibilità di avere un token (ha pagato il servizio) e gli do un codice univoco da allegare alla richiesta = so chi sei dal codice univoco + hai un token valido --> ti puoi connettere e nella mia tabella sei CLIENTE1

problema token e codice univoco:
il codice univoco sarà per esempio qualcosa generato a partire da una chiave fornita al cliente (che non la invierà ovviamente con la richiesta), potrà essere usato 1 volta per richiesta; non è tanto distante dal metodo con cui tiri fuori un token, solo che ha uno scopo diverso, identificare il cliente. Sarà compito del cliente che fa l'app implementarlo in base a delle specifiche.

il token di accesso api avrà anch'esso una scadenza a breve rinnovabile tramite la logica token-->richieste-->scadenza token-->refresh token-->nuovo token

certo che tutto i token sono intercettabili, proprio per questo si impostano scadenze brevi o monouso... ma perché un cookie di autenticazione non è intercettabile secondo te?

il problema lo puoi risolvere in questo modo (è un esempio, non è il Modo), certo devi fare un po' lavoro che non è banalmente recuperare un ip.