关于wcf的安全问题

我用WCF写的服务，然后有个服务地址，给客户端网站调用，但是客户单网站通过查看源代码就可以知道服务的地址，从而可能被竞争对手恶意调用，使服务器崩溃，后来我知道可以使用X509证书防止恶意调用，
那么在使用X509证书的时候是什么一回事？希望大家给我讲解下X509 在WCF中的工作机制。需要在客户端和服务端都安装证书？这个好像不现实吧，叫每个用户都自己安装证书？