При интеграции стороннего сервиса где следует хранить API-ключ?

Секретный API-ключ храните на сервере в защищённой конфигурации или хранилище секретов, а не в клиентском bundle.

Frontend обращается к вашему backend, который проверяет права и вызывает сервис. Переменная окружения, встроенная сборщиком в браузерный код, не скрывает ключ. Публичные ключи допускаются только по контракту провайдера с ограничениями области применения.