Насколько я понимаю - в вашем проекте "дефолтного" поведения нету. У вас не заложен маршрут для запроса
myservice.local (ну, например), соответственно сервер пытается в корневой папке найти хоть что-то - index.htm, default.aspx. Не найдя ничего, он пытается отобразить содержимое папки, на что нет соответствующих прав. Начните с малого - убедитесь что ваш api работает. В случае успеха можете попробовать сделать для дефолтного поведения -
www.asp.net/web-api/overview/getting-started-with-... такую штуку.
