Как сделать так чтобы доступ к backend api был запрещен?
Конечно можно, нужно отключить бэкенд. Тогда и доступа не будет
попробуйте graphql, он запутаней))
для доступа к апи выдают токен при авторизации по логину\паролю + CORS + rate limit

не понятна задача прятанья апишки...