自社製APIがヘッダーにAuthorizationヘッダーとは別にプレーンテキストの機密情報を載せてリクエストする仕様なんだけど不安を感じる
アプリケーション固有の機密情報をサーバーに送信するときの定石的な手順ってありますか？
こういうのってHttpsで保護されてればそんなに気にしなくてもいいものなんですかね？

GET /examples
Authorization: bearer xxx
X-OREORE-SECRET-KEY: yyy