Это проектная спецификация, а не работающее API: реализации ещё нет, адреса могут измениться.

Страница ещё не написана. Ниже — что об этом уже известно

Аутентификация

Токен в заголовке #

Заголовок Authorization: Bearer … и почему не параметр в теле.

Префиксы lms_live_ и lms_test_: зачем они нужны сканеру секретов.

Заголовок X-On-Behalf-Of и что при этом попадает в журнал аудита.

Одноразовая ссылка в кабинет: срок жизни, привязка к браузеру, для кого не работает.