Как были устроены аутентификация и авторизация публичного сервиса? Был ли отдельный сервис авторизации, как он взаимодействовал с другими сервисами и кто обращался к нему: фронтенд, пользователи или backend-сервисы?

Разделите проверку личности и проверку прав, затем опишите реальную схему выдачи и проверки токенов. Уточните, где обращались к auth-сервису, а где проверяли данные локально.

Клиент может проходить вход у identity provider, а API — проверять access token локально по ключам или через introspection. Но права на конкретный заказ или документ обычно проверяет владеющий им backend. Межсервисная аутентификация отличается от входа пользователя и требует собственного доверия. Опишите logout, отзыв доступа и смену ролей, если занимались этим. Не утверждайте, что frontend обеспечивает авторизацию: интерфейс может скрыть кнопку, но сервер обязан повторно проверить разрешение.