Как ограничить доступ к API к порталу, работающему в браузере через Nginx

Вы не можете полностью заблокировать вызовы curl.

Однако вы можете сделать их более сложными, потребовав, чтобы заголовок реферера HTTP был установлен в API. Ты можешь использовать Модуль реферера HTTP nginx за это. Пример конфигурации:

сервер {
    действительные_рефереры a-api.example.com;

    если ($invalid_referer) {
        вернуть 403;
    }
}

Это не повышает безопасность вашего сайта. Злоумышленнику несложно добавить требуемый HTTP-заголовок при отправке запросов к a-api.example.com.

Поэтому важно, чтобы в вашей реализации API использовались лучшие практики безопасности.