Почему нельзя встраивать API-ключ в браузер и приложение?

Любой секрет в клиентском JavaScript, мобильном bundle или query string извлекается за минуты — devtools, декомпиляция, история браузера. Дальше чужие запросы идут с вашего баланса, а отозвать «ключ из продакшена у пользователей» быстро не выйдет.

Схема правильная одна: браузер ходит в ваш backend route, backend добавляет ключ и обращается к API. Пример такого route — в гайде Node.js.