Если используется ключ API, то он будет виден в HTML. Обязательно ограничьте его по домену и только для Maps Embed API в Google Cloud Console.
Ограничение по HTTP Referrer — Разрешить запросы только с yourdomain.com/*
Ограничение по API — Разрешить ключу только Maps Embed API
Бюджетные алерты — Уведомление при превышении лимита расходов
Hard limit на биллинг — Отключение при достижении бюджета
Видео: