Liste blanche de destinations de domaines personnalisés

Nous avons une intégration dans notre système qui permet au client de créer une url courte partageable lorsqu'il est sur un article. Nous avons constaté qu'il est possible d'obtenir le jeton d'accès à l'API à l'aide d'un outil d'inspection du réseau, puis de soumettre des demandes de création d'url courtes avec notre domaine.

Il semble qu'une solution consiste à restreindre les destinations possibles.

J'aimerais donc pouvoir définir une liste blanche de domaines pouvant être utilisés comme URL cibles, afin d'éviter que quelqu'un ne détourne les clés API et ne crée des URL personnalisées en utilisant notre domaine personnalisé vers une destination hors de notre contrôle, comme https://www.attacker.com.