最新版ならapi.php
ただしweb.phpのルートとはセッションが繋がらないので要注意
単にajaxの受け口など自サイト専用のapiなら
web.php側に書くほうがなにかと楽だと思う
多分ベストプラクティスからは外れるんだろうけど