Где держать ключ Telegram-бота на AI API?

Только на backend, в переменных окружения. Схема: Telegram присылает текст вашему серверу, сервер добавляет ключ и ходит в API, ответ уходит пользователю. Клиент, мини-приложение и логи ключа не видят.

Дополнительно: обрезка входа, max_tokens на вызов, rate limit на пользователя и spend limit на ключе. Полная схема — в гайде Telegram-бот.