Qualquer tipo de chave, token ou segurança que você for aplicar, terá de ser aplicada também no lado do cliente. E esse é o grande problema. Quando estamos falando de uma aplicação web, existem formas fáceis de inspecionar o navegador e achar essa chave ou token. Já em um aplicativo mobile, o usuário pode descompilar o seu app e facilmente pegar essa chave. Se a conexão entre o cliente e o servidor não utiliza SSL, alguém com um monitor de rede consegue visualizar as requisições.
O fato é, no seu caso, a sua API é pública. O usuário não precisa previamente fazer um login para utilizá-la ou coisa do tipo. É só consultar e fazer requisições.
Se alguém realmente quiser bater na sua API vindo de fora das suas aplicações, ele vai conseguir. Não importam as técnicas que você adicionar para evitar isso, tudo que vai acontecer é dificultar esse trabalho, mas ainda é possível.
O que eu geralmente faço em APIs públicas é monitorar. Os servidores e serviços de cloud hoje já tem ferramentas para bloquear e despriorizar requisitores que estejam abusando da sua aplicação. Paute suas decisões de acordo com o que os dados te mostram. Monitore sua aplicação e veja se realmente existe alguém tentando fazer algo que não deveria. Se não estiverem, pra que se preocupar tão cedo? E se estiverem tentando, é um bom sinal. Sua aplicação já está tão famosa que está chamando atenção. Quando chegar aí, tome as devidas providências: JWT, CORS, CSRF.
A única forma de garantir 100% de que sua API pública não receberá requisições de fora, é tornando-a privada. Assim, você tem controle de 100% dos requisitores.