Какие HTTP status code используются в ваших API?
200, 401, 403, 404 и т.п.

Передаете ли дополнительную информацию об ошибках? Какую?
Код ошибки, текстовое сообщение, на каком языке (русский, английский), дополнительные параметры?

Кодируете ошибки, как? Единая нумерация для всего API, или свои ошибки для каждого endpoint?

Используете какие-то правила для возвратов ошибок?
Например, по аналогии с JSON-RPC, в котором наличие в ответе поля errors означает, что произошла ошибка при обработке запроса.

Что возвращаете, если клиент запрашивает существующий ресурс, к которому запрещен доступ:
404 или 403?

В общем, научите как надо возвращать информацию об ошибках в API