Как обеспечить безопасность для API?
Так как API простенький, она будет выполнять эти запросы, если конечно они будут валидными.
Дак этим апи и должен заниматься. Безопасность то в чем пострадает ? Если боитесь наплыва запросов, ставьте ограничение на токен или с помощью чего-то вроде https://github.com/koajs/ratelimit
От такого нету защиты. Только если CSRF который затрудняет такое, либо каптча. https://www.owasp.org/index.php/REST_Security_Chea...