Защита API при выдаче баллов

Есть публичное api для взаимодействия с различными клиентами. Нужно клиентам давать баллы за определенное действие. Вопрос, какие есть способы проверки, что клиент действительно выполнил данное действие?

В онлайн-играх есть похожая механика, за выполненную миссию дают опыт. Как там сервер проверяет, что игрок действительно выполнил миссию, а не обратился напрямую в api?