Эти меры никак не помогут, если кто-то решит отправить на ваш API парочку лишних запросов. Access-Control-Allow-Origin поможет, только если кто-то на другом сайте разместит форму или скрипт, чтобы слать запросы посредством браузеров клиентов, которые на этот другой сайт зайдут.
Хороший способ избежать лишних запросов к стороннему API - кэшировать ответы и использовать их некоторое время, с чем отлично поможет Memcached. Например, если это API с курсом валют и одним методом без параметров, можно сделать запрос на API, сохранить на несколько часов ответ и использовать его вместо API, а по истечению этих нескольких часов, сделать очередной запрос, и так само сохранить.
Если же пользователь может передавать какие-то данные, из-за которых запросы к API могут меняться - например, API Вконтакте для поиска музыки, где пользователь может ввести любую фразу - кэшировать запросы будет сложно или даже невозможно, в таком случае можно попробовать разные варианты (в зависимости от того, как используется API и какие у него есть возможности):
- Если API позволяет, можно загрузить из API больший объем данных меньшим количеством запросов и сохранить на своем сервере, при получении запросов от клиентов сначала искать в сохраненных данных, а затем обращаться к API, если в сохраненных данных нет того, что нужно
- Если API позволяет передавать несколько ключевых слов (например, API VK позволяет передавать сотни ID страниц пользователей для поиска страниц, чтобы избежать кучи лишних запросов по каждому ID), можно создать механизм очереди на своем сервере - сохранять все запросы от пользователей в некий стек и отправлять его раз в полсекунды / секунду / сколько нужно на API, после чего очищать
- Проверять IP-адрес клиента и ограничивать кол-во запросов по нему. Это не защитит от атак с разных IP-адресов, но по крайней мере кому-то придется потратить на плохое дело больше, чем пару минут, и не получится абузить сервер простым обновлением страницы браузера. Как слой защиты, можно использовать бесплатный Cloudflare с повышенными режимами проверки клиентов, так будет сложнее навредить вашему серверу (главное, не забудьте заблокировать запросы, которые идут не через Cloudflare)
- Если к вашему API обращаются редко, можно просто сделать глобальное ограничение по количеству запросов за определенный промежуток времени. Если наблюдается аномальный объем запросов, просто отвергать их с просьбой попробовать позже. Но стоит учесть, что при постоянном потоке запросов, ваш сервис будет, по сути, нерабочим, хоть это и не навредит вашей дружбе с тем сторонним API, так что стоит в это же время постепенно блокировать источники аномального трафика.
Но это мое, любительское мнение, думаю стоит почитать профессионалов в этой сфере.