Olá!

Você pode utilizar os cabeçalhos da requisição para enviar as informações sensíveis. No caso eu recomendaria utilizar o Authorization.