Como você impede que os usuários finais tenham acesso a um token de autenticação em texto simples?

Meu plano é ter um aplicativo que se comunique diretamente com a Nordigen. Mas isso significa que os usuários finais precisam ter acesso a chaves secretas, eu sei que isso é uma má prática e acho que no final colocarei a Nordigen atrás de um proxy que autentica os usuários finais.