John Travolta
Ну это понятно
Просто апи не открытый, поэтому он хочет проверить авторизацию, для этого он ждёт какие-то заголовки в запросе, например, csrf-token, api-key, чтобы идентифицировать это у себя, что-то сделать и отдать респонс какой-то обратно
csrf-token ходит в куках с каждым запросом, Bearer токен к заголовке запроса только в том случае, если юзер авторизирован. Если же выполнить запрос без Bearer токен на защищённый роут, прилетает 401, впоследствии которой можно что то сделать на UI, но в консоли никак не скрыть, только если console.clear() - что решение такое себе.