PlayGroundを外部には見せずにpost Requestのみで外部はAPIが操作できるようにしたい

PlayGroundを外部には見せずにpost Requestのみで外部はAPIが操作できるようにしたいです。
backendはnode.jsです。
serverはdigitaloceanを使用しています。

digitaloceanでIPAdressをfirewallにいれただけじゃだめだと思います。

外部を公開する上で、様々な制限も必要だと思います。