Раз уж косвенно затронули безопасность, то здесь best practice по secure api design. Даже тезисное описание не нужно, статья без воды. https://dev.to/vaultree/designing-a-secure-api-4059