GA みたいに、ブラウザに公開キーを埋め込んでイベントを送るサービスを考える。
公開キーは secret ではない。script tag や bundle に入るので、誰でも見える。 ただしサーバー側では、その公開キーから token record を引いて、project と origin allowlist を見る。
このとき落とし穴になるのが domain verification。
「この origin はこの project のものだ」と確認できていることと、 「この origin から telemetry を write してよい」ことは別の権限になる。