Если для использования веб-службы требуется ключ API, вы ДОЛЖНЫ хранить его где-то в своем приложении ... Кстати, вы можете хранить его каким-то зашифрованным способом, поэтому простая декомпиляция не раскрывает его.
Если пользователь должен ввести ключ API, его можно сохранить в стандартном хранилище RMS вне вашего приложения, опять же, возможно, зашифровать.запросите вместо HTTP GET и отправьте ключ в сообщении данных.