Sobre "se alguém interceptasse/setasse um token"
Realmente voce tem razão.
ME desculpe(m) pelos comentários.

Mas sobre como intercepetar/setar:
o user precisaria executar um js na sua página ou usar um browser acreditando que está no chrome
Acho que só dessas duas maneiras tem Jeito.

Eu me importo com minha reputação, com os rumos que a internet toma, com a comunidade...