Uma alternativa é validar através de tokens. Assim, você pode até mesmo limitar a quantidade de chamadas do seu serviço. Alguns serviços do Google e Bing são limitados a 5.000 chamadas por dia, a partir daí o usuário deve pagar uma assinatura.
Sugestões:
- token com expiração, para evitar chamadas depois de um período de tempo.
- username - controle a nível de usuário.
- IP do cliente - controla a origem da chamada.
- hash da senha - utilizando chaves público/privadas para troca do hash da senha.
Tem mais algumas ideias nos links abaixo: