Аутентификация для api?
Только сегодня уже был вопрос на эту тему. Буквально на первой же странице.
Читайте про JWT.
Первая ошибка - это отправить ЛОГИН и ПАРОЛЬ POST-запросом.
Отправляем всегда хешированные данные ключом сервера!
Минимум информации - читайте тут.