Hocam API KEY nereye yazarsanız yazın, client tarafında çalışacağı için gizlemeniz mümkün değildir. Siz wp-config içine yazsanız bile wp_localize tarafında onu javascript ile sayfaya gömüyorsunuz aslında değişen birşey olmuyor. Sizin yapmanız gereken google üzerinden domain kısıtı koymak.