あと、docs/API.mdに詳しく書かれてますが、/api/*へのアクセスを/api/index.php?=/api/*へルーティング(リライト)する設定をApache等にして必要な人にAPIキーを配れば完璧ですかね。