А существуют способы, которыми на клиенте можно было бы спрятать ключ, чтобы к нему у клиента не было доступа даже на чтение?
И чтобы потом этот ключ можно было на беке использовать (для верификации, что запрос пришел от официального (тм) приложения, а не из какой-то программки типа постмана и тп)?