Будьте внимательны со старыми ключами и обязательно строго ограничивайте их API-шками

а то получиться как тут - чела выхлопали на $82к (reddit)

Вообще, я сторонник того чтобы на фронт не вытаскивать НИКАКИХ ключей :)) и как минимум ставить rate limiter per user/per ip на endpointы, которые потенциально могут использовать внешние сервисы.