Как защитить API?
1) https 
2) добавлять во все запросы какой нибудь hash от времени & данных запроса & секретного ключа зашитого в приложение
Добавить авторизацию например. Или просто секретный ключ, который известен только приложению и api. Но в этом случае все запросы посылать по https.