Pues es algo difícil ya que las API's con protocolos de seguridad para el lado del cliente suelen utilizarse con keys publicas, véase la configuración de Firebase para web en donde hay que agregar al código toda la información para acceder a tu app, puesto a que toda la información es visible, no es recomendable, podrías ofuscar el código, pero al fin y al cabo la información sigue siendo publica.
Si estuvieses trabajando con serverless, PaaS, Baas, etc., te recomendaría informarte con tu proveedor para saber como trabajar con las variables de entorno y sentenciar código dentro de tu app/servicio.
Solución:
Cualquier API que necesites accesar a través de credenciales siempre estarán expuestas si están en el lado del cliente por lo no te recomiendo que envíes las credenciaes desde el servidor tampoco.
Las API de google así como muchas otras tienen SDK para el lado del servidor a de mas, no deja de ser una API REST y ya que estás trabajando con una app/express de node (asumo) y en general con cualquier tipo de backend, puedes interactuar con la API desde el lado del servidor y enviarla o renderizarla al lado del cliente ya autenticada (desde el mismo servidor), en este caso puedes instalar las API de google como modulo en node y trabajar con su SDK o simplemente utilizar peticiones http para interactuar con esta (puedes utilizar node-fetch para trabajar con window.fetch en node).
Un ejemplo sería:
const express = require("express");
const app = express();
app.get("/api", function(req, res){
var dominio = req.get('host');
if (dominio != process.env.domain) {
res.send("No puede acceder a esta información desde este dominio");
}else {
var someApi = new SomeApi({
API_KEY: process.env.myApiKey,
VR: 1.3
})
var myApiRespone = someApi.getApiMethod("someParam");
foo..
res.send(myApiRespone);
}
});
app.listen(process.env.port);
Tenemos una API random que se acredita y se ejecuta del lado del servidor y envía la información solo si la petición proviene de nuestro dominio, claro que esto es una seguridad muy básica, pero ya es cuestión de imaginación.
Ahora si del lado del cliente solicitamos nuestro endpoit el resultado será:
Solicitando de mydominio.com:
fetch("/api")
.then(res => res.json())
.then(res => console.log(res)); // ===> Imprimirá la data de la API
Solicitando de otrodominio.com:
fetch("https://mydominio.com/api")
.then(res => res.json())
.then(res => console.log(res)); // ===> Imprimirá la data de "No puede acceder a esta información desde este dominio."
Espero que te sea de ayuda, un saludo.