Mình cũng từng ứng dụng như vậy cho Production thì thấy cách hiện tại của bạn đã rất tốt rồi
Socket: Để nhưng notify realtime, nhưng chỉ server đẩy xuống client
RestAPI: Để client đẩy request-response lên Server, kèm theo đó là API-Key trong header để Auth => Security