Алексей Уколов

Если это совсем разные API, работающие с разными данными и пишут их разные люди, то имеет смысл разделить. Иначе - нет.

PASSWORD, но SLOVO.

По принципам REST url должен быть один - сущность ведь одна и та же, только доступные поля различаются.
Ну а что касается best practices, то их полное название - best practices for a majority of typical situations, отсюда вывод - серебрянной пули не существует, нужно всегда думать своей головой. Если инструмент мешает, нужно сменить инструмент или доработать под задачу.

https://www.googleapis.com/books/v1/volumes?q=isbn...
isbndb.com/api/v2/docs
habrahabr.ru/post/67365

В данном вопросе нет правильного решения.
У заголовков есть преимущества - токен не виден невооруженным взглядом и экономится место в URL. Насколько эти преимущества существенны и не перекрываются ли они какими-либо недостатками решать только вам.

У меня обычно так: staff - свойство объекта account, поэтому либо вся информация о staff выводится по адресу '/api/account/1', либо там выводится только id, а сам объект staff достается вторым запросом на '/api/staff/x'.