Как правильно сделать систему аутентификации?

Если речь о форме авторизации, то прогонять через api фронта не лучшая идея.
Другой вопрос, когда при запросе к api пытаемся идентифицировать пользователя. Тогда чтобы не проверять подлинность токена на сервере для api, можно обратиться к серверу аутентификации из бэка.