API-ключи храните на сервере вне публичных файлов и истории кода. Браузер должен обращаться к ограниченному обработчику с серверной проверкой. Сочетайте защиту сессий, личные и общие лимиты, ограничения длины и параллельности. Одна проверка Origin не остановит скрипты; общий лимит ограничит расходы.
Что проверить
- Отзывайте утёкшие ключи и разделяйте среды.
- Проверяйте лимиты на сервере, а не только в браузере.
- Отслеживайте ошибки без записи ключей и личных сообщений.