Вам же четко написали в руководстве. Данные ключи можно использовать только для сервера. Второй вариант они действительно для js и тогда владелец апи должен обеспечить cors с привязкой к вашему домену. Если это все же серверные ключи то создайте на своём сервере файлик php который принимает запросы только от вашего хоста и обращается к апи
