/api/** = anon