Essa era uma das minhas principais dúvidas, ao construir uma API Rest, se era preciso ou não deixar validações nas classes de entidade, inicialmente eu costumava deixar validações em ambas, tanto no dto quanto na classe, uma medida de segurança para proteger os dados, mas pelo visto, não é o indicado.
