Restringir acesso a API

Pessoal, boa tarde.

Eu desenvolvi uma API simples que lista as cidades de um determinado estado, então se eu acesso http://localhost:3000/cidades/SP, lista todas as cidades do estado de SP. A questão é que desejo fechar esta API de tal forma que um único domínio possa acessar, e utilizei no Express o seguinte código:

app.use(function(req, res, next) {
     res.header("Access-Control-Allow-Origin", "*");
     res.header("Access-Control-Allow-Headers", "Origin, X-Requested-With, Content-Type, Accept");
     next();
 }); código aqui

Entendo que no lugar do * eu deva colocar o domínio que eu permita que acesse, mas mesmo eu setado um de teste, quando subo a aplicação, ela continua "aberta". Além disso, há algo mais que eu precise fazer no Node ? No mais, obrigado.