Безопасность API

Токен доступа живёт недолго, токен обновления — дольше и хранится надёжнее. CORS — защита браузера: сервер разрешает чужим сайтам читать ответы через Access-Control-Allow-Origin. Большие списки отдают страницами: ?page=2&limit=20 или курсором.