Ключи с ограничением доступа

Ключ можно ограничить только операцией поиска, конкретным списком коллекций, списком разрешённых полей, скрывающим внутренние столбцы в ответе, и источниками (origin) браузера, которым разрешено его использовать. Утёкший ключ с областью «поиск» может искать только в этих пределах и не более — он не может записывать документы, читать конфигурацию или обращаться к другой коллекции.

Именно это позволяет безопасно размещать ключ прямо в клиентском JavaScript: ограничение проверяется на сервере при каждом запросе, а не скрыто за неочевидностью, поэтому правильная настройка области действия ключа — это и есть реальная граница безопасности, а не просто удобная настройка.