درسته.
این رو هم در نظر داشته باشین که میتونین بجای کانکشن مستقیم به sql server،
میتونین روی همون هاست یک api بنویسین و وب سرویس بسازین.

هر دو این روش ها مزایا و معایب خودشون رو دارن و این که کدوم روش مناسبتره باید با توجه به شرایط کاری انتخاب بشه،
ولی بطور خیلی خلاصه (و با این فرض که هر دو توسط تیم های خبره پیاده بشن) میشه گفت که:
دسترسی مستقیم پرفورمنس بهتری داره و پیاده سازی و نگهداریش هم آسونتره،
و وب سرویس امنیت بهتری داره ولی پیاده سازیش سخت تره و ممکنه کندتر باشه،
و بیشتر برای جاهایی مناسبه که کاربرهای خیلی زیاد در پلتفرم های گوناگون دارن مثل: بیمه تامین اجتماعی، بانکها، دارایی، ...

در مورد امنیت کانکشن مستقیم به سرور نگران نباشین چون هاست ها برای امنیت خودشون موارد امنیتی رو حسابی سفت و سخت میگیرن ،
شاید شما (و کاربرها) مجبور باشین از ip ثابت وصل بشین که خب هزینه بر هست برای کاربر،
بنابراین ممکن هست ناچار به استفاده از وب سرویس بشین.