SMS callback authentication

Bonjour à toutes et à tous,

J'aimerais savoir quelles sont les options à ma disposition pour sécuriser le endpoint de callback SMS ?

Je pense à :
- whitelisting des IPs OVH. Mais difficilement faisable dans mon cas.
- déclaration (dans la console OVH ou via l'API) d'une API key ou token qui serait injecté en tant que Header HTTP lorsqu'OVH envoie le callback. De cette manière mon API serait capable de n'accepter seulement les requêtes contenant ce token.

Cdt,