APIのクライアントがAPI Managerを通じてアクセスする際、シークレット(Client Secret)を安全に渡すための推奨される場所はどれか。

シークレットはURLの一部(クエリやパス)ではなく、暗号化されるHTTPSのヘッダーに含めるのが一般的である。