Evet tam olarak anladığınız gibi. Tamam bu sefer api keyiniz yok ama, yine herkes istek atabilir o functions'a. Her gün değiştirmeyi denemek istiyorsanız tabii kalıcı çözüm değil ama yine evet bıktırır mı, belki

Öncelikle bir auth sistemi kurmanız lazım hocam. Yani birisi üye olacak, sistem ona bir jwt token verecek, sizin arkaplan bu isteğin sizin sisteminizde olan bir üyeden geldiğini doğrulayacak yani ona sen kimsin diye kimlik soracak. Ona göre bu isteği atmasına izin verecek. Dışarıdan rastgele birisi istek atmaya çalışsa da izin vermeyecek. Bunlar ile yapabilirsiniz. Bunları kurgularsanız en güvenli yol bu.