Если бы такая задача (список ключей с возможностью применения и удаления) пришла тебе как фронтенд-разработчику, устроила бы тебя такая структура API, или ты бы предложила другую?

Для списка ключей я проверил бы отдельные операции чтения, применения и удаления, понятные ошибки и права доступа.

Без самой схемы API оценить конкретный контракт нельзя. Важно уточнить пагинацию, идентификаторы, массовые операции и смысл «применить». Секрет ключа не стоит повторно отдавать в списке; применение и удаление должны проверять права на сервере.