Как правильно делать сайт с api?
Авторизация по api это easy. Проходишь как на обычном сайте авторизацию высылая логин + пароль и получаешь токен. Этот токен пихаете во все последующие запросы. Никаких кук, сессий.
Вам нужно копать в сторону  JWT для выбранного фреймворка для апи. Если это експресс, то вот либа https://www.npmjs.com/package/express-jwt
А работает оно по принципу как 
описал spaceatmoon