実際のところ、サーバー介して認証するとかしない限りスマホアプリで
外部サービス利用する場合に使うAPIキーってハードコードするしかないよね？
キー文字列自体を暗号化しても、そのパスワードと復号関数がアプリに入ってなければ
そのキーは使えないから実質ハードコードしてるのと変わらないし