суть api для сайта

снованы на post запросе

Не только на POST. Ты, конечно, читал http://en.wikipedia.org/wiki/Representational_state_transfer ?

В целом правильно.

tailgunner прав. Существуют RESTful-системы (поведение которых соответствует REST), а можно обойтись только методами GET или POST.

Рядом с сайтом ставишь скрипт с проверкой авторизации и записью в базу переменных из строки POST запроса - минимальный набор для API. Все что более этого - неKISS

Бывают разные api. Некоторые основаны на чистом REST, т.е. разные запросы на разные урлы, даже без указания каких-либо методов (они заданы в урле, по сути), другие на каком-нибудь механизме RPC (например SOAP).

нет, ещё не читал, спасибо. фундаментальное чтиво, судя по всему.

Ну, вконтактик обходится POST и GET запросами.

Причём тут пхп?

Мысли верные, только данные авторизации каждый раз отправлять смысла нет. Обычно всё не так тупо, тип запроса определяется методом, функция - урлом, man REST. И часто авторизацией похитрее пользуются, опенид каким-нибудь. Ну и никто не мешает писать своё апи хоть на вебсокетах, хоть на ссш приставленном сбоку в общем-то.

хоть на ссш приставленном сбоку

ясное дело, можно дофига как с сервером соединится, если политики безопасности позволяют. но я так понял основная цель остаться в рамках http, что бы всякие прокси продолжали быть прозрачными. или я не прав?

Нуда, ещё для клиентских скриптов, яваскрипт умеет только хттп.

ну авторизация всегда есть, хоть то пароли, хоть кукисы, хоть токены (ну если она нужна конечно)

вообще говоря с апи надо начинать разработку сайта, т.к. на этих же методах потом строится морда, надстройки всякие виджеты т.д. это как mobile first, + rest хорошая архитектура

даже без указания каких-либо методов (они заданы в урле, по сути)
risenshnabel
т.е.

Безграмотные, безграмотные повсюду.