1. json, xml - в основном. html пока не встречал.
2. Может. Клиентами могут быть мобильные проги, или веб клиент на Angular, React, Vue..... SAP. Может и CMS тянуть данные по рест.
3. Ну для GET запроса ок. Но вы же одаете json, xml а это не очень юзер френдли :) Да и с POST уже не так удобно :)
4. Сайт и есть клиентская часть :) Но одновременнно з этим АПИ могут работать и андроид с айосом. Так же REST может быть частью "обычного" сайта. Сейчас практически каждая ЦМС имеет REST API "из коробки", или с помощью модулей/плагинов (Вордпрес, Друпал, Маджента....)
5. Аутенетфикацию делают с помощью JWT, oAuth. А уже на сервере реализовывают обработку прав доступа и т.п.