Você pode fazer isso funcionar verificando hdr_dom ( link ) em vez de hdr:
acl is_api hdr_dom(host) -i api.example.com
acl is_app hdr_dom(host) -i app.example.com
Basta ter cuidado, porque acredito que isso também corresponderia a coisas como "otherstuff.api.example.com".