Consulta com chave web service rest

Eu tenho um serviço web rest onde eu passo uma chave, sendo que está o usuário não pode ver. Quando eu preciso fazer o post, tudo bem eu passo pelo formulário sem o usuário ver, mas quando preciso passar um get, não posso eviar esta chave pela URL. Como seria a maneira correta? Se eu usar um post para retornar uma consulta(passando json) eu sairia do padrão rest, pois consultas usa-se o get.