Hay que ocultar las key de las APIs haciendo variables de entorno o algo así. Se puede hacer fácil con Node.