Закрыть ключ API Яндекс Карт от внешнего доступа

Есть сайт https://raionpoadresu.ru/ с бесплатным ключом API Яндекс Карт. Сегодня залочили ключ, т.к. новое ограничение 1000 запросов к геокодеру. На посещаемость 950 чел в день этого должно впритык хватить, но ключом видимо пользуется не только этот сайт...

По внутренней запрограммированной статистике видим, что есть запросы по 5 в одну секунду из чего делаю вывод, что это делается программно.

Ключ можно заблокировать по IP или по адресу сайта, см. документацию. Первый не подходит, т.к. сайт бесплатный и открытый. Второй - подходит, но современные парсеры его обходят.

Вопрос, как закрыть ключ от внешнего доступа? Он сейчас в js-коде.