Может ли API использоваться между frontend и внешней интеграцией?

Да, frontend может обращаться к внешнему API, если это допускают контракт, CORS и модель безопасности. Секреты приложения обычно требуют обращения через backend.

Прямое обращение подходит для публичных данных или схемы с пользовательской авторизацией, предназначенной для браузера. Постоянный серверный API-ключ нельзя безопасно спрятать в JavaScript: клиентский код доступен пользователю. Backend-прокси позволяет хранить секреты, нормализовать ответы и контролировать доступ, но требует защиты от злоупотреблений. CORS ограничивает браузерное чтение ответов и не заменяет аутентификацию. Выбор зависит от доверия, данных, квот и требований внешнего сервиса.