[Яски]

Не факт, что не secure методы можно вызывать со стороннего сервера. Всетаки хеш пароля текущего юзера сохраняется в куки и возможно проверяется при обращении к апи из клиента. Попробуй посылать куки в запросе, может действительно проверяется.