ブロガー/ウェブサイトの所有者がインストールする JavaScript プラグインを作成しています。リモート API と通信します。
サービスにアカウントを登録したユーザーが所有するドメインのみが API からリソースにアクセスできるように、API を保護する方法を考えています。OAuth2 を読んで基本を理解しましたが、プラグインはサーバー間ではなくブラウザー内から実行されるため、これがどれほど安全かはわかりません。
mixpanel、google analytics、olark などの多くのサービスが同じ概念を使用しているため (つまり、Web サイトの所有者がサイトに一連の JS をインストールする)、解決済みの問題である必要があります。