web.php to routing dla endpointów zwracających statyczne strony, a api.php to endpointy api :)
Konfiguracja znajduje się w pliku Kernel.php w Http. Tutaj przykład z Laravela 8:
protected $middlewareGroups = [
'web' => [
\App\Http\Middleware\EncryptCookies::class,
\Illuminate\Cookie\Middleware\AddQueuedCookiesToResponse::class,
\Illuminate\Session\Middleware\StartSession::class,
// \Illuminate\Session\Middleware\AuthenticateSession::class,
\Illuminate\View\Middleware\ShareErrorsFromSession::class,
\App\Http\Middleware\VerifyCsrfToken::class,
\Illuminate\Routing\Middleware\SubstituteBindings::class,
],
'api' => [
'throttle:api',
\Illuminate\Routing\Middleware\SubstituteBindings::class,
],
];
Jak widzisz domyślnie web ma wpięte middleware'y do csfr, ciasteczek, sesji itp.
Api ma jedynie throttling, żeby ograniczyć ilość requestów i bindowanie