Na sua pergunta não refere se a sua API é em RESTful ou SOAP mas como colocou uma TAG "REST" calculo que é então RESTful. No entanto o que passo a referir faz sentido para ambos.
OAUTH é na realidade para autorização, assim que é entregue um TOKEN é suposto aceder dentro da politica definida para a API. Mas está autorizado a utilizar. Portanto requisições só são abertas para quem o seu sistema entregar um TOKEN.
Quanto aos ENDPOINT's e tendo em conta que criará uma documentação de utilização para a sua API, esta está exposta e vários são os motivos... mas essencialmente porque se trata de puro protocol HTTP e já agora porque é a base de todo o conceito de uma API.
Ao escrever estas linhas vem à ideia limitações que pode colocar como por exemplo na firewall do seu servidor aceitar requets apenas de um determinado IP. Ou ainda utilizar SSL de forma excluir quem não apresente certificados assinados... o universo de opções é vasto.
A criação de 'usuário/utilizador(no meu idioma)' específico para requisições não autorizadas nada contribuí para a segurança da sua API.
Mais uma vez o descobrir de um ENDPOINT é o menor dos seus problemas. Já pensou naquelas requisições que irão aceder a uma base de dados e que por utilização ou por ataques vários podem bloquear o seu serviço... acho que tem mesmo muito em que pensar.
Concluindo, uma API
é publica e ponto. O OAuth
é claramente o caminho a tomar para autorizar a sua utilização. Para mim o OAuth
é delegação pura... sendo a autenticação e acesso a recursos uma outra situação. No ultimo caso o OAuth
tem solução pelo que aconselho a análise do que no OAuth
é denominado por SCOPES
ou permissões que pode ajudar a resolver alguns pontos da sua implementação. Veja também o openID
, pode ser que sirva para o seu caso.