Menurut penerangan anda, ia sepatutnya diletakkan di web.php.

Oleh kerana anda hanyalah projek web biasa, penghalaan dalam web.php menggunakan kumpulan middleware web.

protected $middlewareGroups = [
        'web' => [
            \App\Http\Middleware\EncryptCookies::class,
            \Illuminate\Cookie\Middleware\AddQueuedCookiesToResponse::class,
            \Illuminate\Session\Middleware\StartSession::class,
            \Illuminate\View\Middleware\ShareErrorsFromSession::class,
            \App\Http\Middleware\VerifyCsrfToken::class,
            \Illuminate\Routing\Middleware\SubstituteBindings::class,
        ],

        'api' => [
            'throttle:60,1',
            'bindings',
        ],
    ];

Jika anda meletakkan penghalaan ajax dalam api.php tanpa perlindungan csrf, ia adalah mudah untuk menyebabkan kelemahan program, kecuali untuk permintaan sumber awam.

api.php digunakan dengan pasport Laravel untuk menyediakan perkhidmatan API.

Pada asasnya sama.

Letak di mana sahaja yang anda rasa.

Saya rasa lebih baik untuk meletakkannya di web.php Kerana daripada penerangan anda, ia tidak kelihatan seperti API.