¿Cómo evitas que los usuarios finales obtengan acceso a un token de autenticación en texto plano?

Mi plan es tener una aplicación que se comunique directamente con Nordigen. Pero esto significa que los usuarios finales necesitan acceso a claves secretas, sé que esto es una mala práctica y creo que al final pondré Nordigen detrás de un proxy que autentique a los usuarios finales.