Прикрутил API, пока без проверок и ограничений. Нужно будет запретить работу с API без авторизации, а по авторизации давать доступ только к объектам, принадлежащим авторизованному пользователю.