Fala Danilo, tudo bem ?
O endereço http://instalura-api.herokuapp.com/api/ não tem nenhum mapeamento no sistema que define a API, por isso não adianta fazermos requisições para ele, o filtro de segurança está barrando sua requisição e dizendo que o acesso é negado (type=Forbidden, status=403). Access Denied)
. Ao invés de utilizar esse endereço, devemos fazer requisições para outros endereços desse mesmo domínio.
Exemplos:
Para fazer login: POST para o endereço..
Para receber as fotos de um usuario: GET para o endereço..
Para receber as fotos dos seus amigos: GET para o endereço (desde que esteja logado, possuindo o token de autenticação)
Para curtir fotos: POST para o endereço.. (necessita autenticação)
Para comentar fotos fotos: POST para o endereço a seguir, enviando o JSON que representa o comentário (necessita autenticação)
Espero ter ajudado. Abraço!
TESTE DA API: onde é possível ver o JSON com a fotos publicas de um usuário sendo devolvido