API séria tem minimamente:

• bloqueio de IP
• rate limit
• quota por IP ou API Key

Se não tem isso, desconfie. As vezes existe, só não foi divulgado e o cliente vai descobrir da pior maneira ou no pior momento (lei de Murphy).