[monolithed]

И api_key, скорее всего, должен храниться в секрете.

никогда не понимал призывы хранить api_key в секрете, это как такое возможно, если учесть, что некторые сервисы требуют размещения этого api_key в том же header'e?