Web API Cache/Proxy und Client/Session

Hi Leute,

entschuldigt die konfuse Fragestellung! Ich kann's irgendwie nicht 
exakter Formulieren - einfach nachfragen bitte.

Ich möchte eine winzige Internet-"App" bauen.
Wie bei vielen:

1. Nutzer lädt Seite vom Server
2. Nutzer gibt Daten ein
3. Daten werden beim Server angefragt
4. Server holt die Daten aus dem Cache oder von der externen API
5. Server sendet Daten an Nutzer

Die Fragen betreffen hauptsächlich die Client/Server-Aufteilung.

A) Damit Clients nicht indirekt die externe API ausnutzen, muss es 
mindestens ein Rate-Limit geben.
B) Sofern die Daten nicht mit der Seite, sondern per eigener API 
ausgeliefert werden, sollte der Zugang nur von der Seite erlaubt sein.

Bis auf die "Daten" könnte die "Seite" statisch ausgeliefert werden.
Das bedingt eine eigene API. Wie können dann A) und B) realisiert 
werden?

In beiden Fällen muss der Client identifiziert werden (Session/Cookie).
Das würde im Fall der eigenen (separaten) API nicht mehr stateless 
(REST) gehen, oder? Und statisch ausliefern geht dann wohl auch nicht.

Dann klingt es so, als sei es einfacher, die Seite "server-side" mit den 
Daten zu versehen. Oder..?