Google App Engine スタンダードでAPIを使うベストプラクティスが知りたい

Question

GoogleAppEngineのサーバーサイドでAPIを使いたいです。APIを使うことはできました。
次にキーの制限をしたいのですが、制限の方法がわからず困っております。
![

・サーバーサイドで利用しているので、HTTPリファラではできない?
・IPアドレスが固定されていなので、APIキーの制限で「IP制限」ができない?

GoogleAppEngineのサーバーサイドでAPIを使うとき、第三者が利用できないようにするためにどうすればよいか教えて下さい。