Кирилл Таран

Ответы на все три вопроса зависят от вашего подхода к разработке и культуры кода. На правах советов:

#1 Наличие отдельного бэкенда даёт больше возможностей масштабирования, и меньшею связанность. Но зачем тогда серверсайд для сайта? Отдельные методы под json — это двойная работа, которая и так уже сделана в WebAPI.

#2 Как корпоративный программист я не силён в человеческой авторизации, но то, что вы описываете и так похоже на современный метод работы с токенами: посмотрите в сторону refresh token.

#3 Это будет авторизация вашей внутри инфраструктуры, так что делайте как удобно. Метод этот — явно не CRUD, можно сконфигурировать отдельный роут для подобных запросов.

Если речь идёт о неприменении jQuery, то вопрос становится совершенно другим: можно не использовать js, тогда придётся либо всё обрабатывать на сервере (если у вас статика, то это вполне себе вариант), либо использовать WebForms, где серверный код будет транслироваться в очень специфический JavaScript, но мне кажется, что сегодня не стоит рассматривать этот способ.
Однако, есть лучший вариант — просто не используйте jq, с современными браузерами в проектах можно использовать чистый js. Напишите базовую функциональность типа AJAX сами или используйте отдельные скрипты. В зависимости от проекта сервисный код может занять от двух-трёх сотен строк.

С точки зрения приложения разницы нет, но у IIS уже есть готовый обвес: логирование, маршрутизация, консоль управления та же, а для селф-хоста всё придётся настраивать отдельно (если, конечно, будет нужно).