безопасная идентификация пользователей, клиент+сервер для вконтакте

[manuscripti]

есть auth_key = md5(api_id + '_' + viewer_id + '_' + api_secret)
api_id , viewer_type, api_secret я беру с вконтакте
в клиенте вычисляется auth_key и?

что передавать к себе на сервер? чтобы было все безопасно?

"auth_key вычисляется на сервере ВКонтакте следующим образом" - понятно что вычисляется - но он же будет в клиенте в swf присутствовать - так же как и api_id , viewer_type, api_secret

то есть все что берется и вычисляется можно взять из swf и авторизоваться без swf фактически на моем сервере

поэтому хочу понять как именно этот момент обычно делают? - чтобы бы приложение не взломали