Wie verhindert man, dass Endbenutzer Zugriff auf ein Klartext-Authentifizierungstoken erhalten?

Mein Plan ist es, eine App zu haben, die direkt mit Nordigen kommuniziert. Aber das bedeutet, dass Endbenutzer Zugang zu geheimen Schlüsseln benötigen, ich weiß, dass dies eine schlechte Praxis ist und ich denke, am Ende werde ich Nordigen hinter einen Proxy stellen, der Endbenutzer authentifiziert.