Просто внедрите API на сервере, чтобы приложение вызывало и получало контент (например, ваш ключ) всякий раз, когда требуется приложение или логика.
Ключ на самом деле не такой уж секрет, и никто не может сделать с ним ничего плохого.
Тогда вызова API HTTPS более чем достаточно.
Кодировать его на сервере и декодировать в приложении?
Если это простой ключ, а не такой безопасный, как вы упомянули.Кодирование и декодирование, вероятно, не нужны.