Les paramètres de thème sont disponibles pour l’application cliente JS, ce qui signifie que n’importe quel visiteur de votre site pourrait vérifier leur code source pour les voir. Vous ne souhaitez presque certainement pas mettre une clé API là.
L’exception concerne les clés API qui sont conçues pour une utilisation côté client, et donc ne posent pas de problème si quelqu’un y accède (par exemple Giphy, intégrations Google Maps, etc.)