Александр

Что в WebAPI, что в MVC все те же контроллеры. Разница только в том, что в методах возвращается или json, или вьюха. Ищите примеры тут

Models

Модели вам по-любому понадобятся, как ViewModels чтоб строить JSON (вы же не собираетесь json руками генерить?), так и какая-то бизнес-логика.

я вижу сильную привязку к контроллерам из чего рождается вывод, что для работы по таким проектам требуется fullstack подход,

В идеале, у вас бизнес-логика (вся) должна быть отдельно. Контроллеры -- только мост между бизнес-моделями и выводом (вьюхи это, json - не важно).

Это вообще нормальная практика? Есть какие-то ещё варианты?

Блокировать потоки-обработчики запросов -- плохая, вредная практика. Потоки -- ресурсы не бесконечные, как сами по себе, так и вычислительные ресурсы, требуемые потоками. У вас просто появляется шанс, что всем запросам не хватит ОЗУ.
1 поток, обрабатывающий заказы по очереди. Это может быть 1 поток на пользователя, может даже не быть потоков как таковых: флаг, запрещающий создавать\обрабатывать заказы, при наличии неотработанного заказа у пользователя. Но чаще всего, это отдельный (микро)сервис, который собственно получает от веб-сервера заказы, складывает в очередь и уже с этой очередью работает.
Основная задача -- организовать очередь.

https://github.com/TelegramBots/Telegram.Bot
Даже ничего писать не буду, берете и пользуетесь. Без всяких asp

asp.core - это прдолжения предыдущей версии

В корне не верно. asp.net core - новый кроссплатформенный рантайм, работающий под win/lin/mac. asp.net MVC 5 - legacy.

SignalR

1) Мне кажется что в каждом запросе к API проверять валидность IP - Token (запрос к БД) будет долго и ответы будут больше пол секунды, как можно решить или так и делают?

Кеш in-memory для активных токенов.

2) Везде где читаю про эту тему пишут: "Не пишите сами, будет куча дыр! Используйте готовые решения. (Owin и тд)"
Есть ли в моей модели дыры?

На стадии модели дыры рано искать, да и модель у вас поверхностная. Как будут генериться токены, какой сложности, вероятность коллизий - вот это вот все решает.

3) Если я сделаю сайт (Веб приложение) который будет обращаться к API (я так понимаю как и обычный клиент - HTTP запросами), то по идее мой сайт будет одним из пользователей который использует Token и держит его в Header, будет ли виден он в веб-отладчике? с какого IP будут уходить запросы, сервера или пользователя? Я имею ввиду те корые будут не в контроллерах сайта, а Ajax.

Смотря какой апи и как вы реализуете. Ajax - это клиентская технология, да, токен будет виден в отладчике.

Валидируйте модель самостоятельно.

https://metanit.com/sharp/patterns/2.5.php