Der API-Schlüssel liest, er schreibt nicht
Ein Schlüssel kann nichts anlegen und nichts ändern, unabhängig von seinem Umfang. Das ist keine Lücke, sondern die Festlegung: Ein Schlüssel landet irgendwann in einem fremden Backup. Wer schreiben will, braucht einen Zugang, den ein Mensch im Browser erteilt hat.