Безопасность API-ключа в webspeechkit

API-ключ лежит на клиенте и любой может его заполучить, просто найдя его в коде. 
В связи с чем возникает вопрос — ключ привязывается к проекту? Каким образом?
В целом интересует, что может помешать злоумышленнику взять мой API-ключ и использовать его для своих нужд, начиная с отправки запросов в корыстных целях, заканчивая умышленным исчерпанием лимита проекта?
