Posso chamar a API diretamente do JavaScript?

Não. A sua chave de API deve permanecer sempre no servidor de back-end; o acesso direto pelo navegador expõe as suas credenciais.

A sua chave de API deve permanecer sempre no servidor de back-end.

O acesso direto pelo navegador não é recomendado, porque expõe as suas credenciais.