Cara, que projeto legal!! Principalmente pra você que são iniciantes

Mas mano, tira urgentemente aquela chave de API dali!!!! Na verdade, desative aquela chave do seu firebase, porque ela já foi vazada. Existem bots que escaneam o github inteiro por chaves de APIs, então a sua já foi vista com toda certeza.

Você já viu as soluções de cloud funcions da google??

[edit]
Talvez você nem precise de functions, eu acho que a solução de auth (https://firebase.google.com/docs/auth?hl=pt-br) serveria pra você. O usuario faria login, desse jeito ele terá acesso mais limitado de usuário.
Mas eu posso tá errado! Estou me baseando em outro serviço parecido inspirado no firebase, e que tem isso

Mas de qualquer jeito, esconda essas chaves de API!!!