É possível usar uma lista de endereços IP permitidos?
Sim, e ela é obrigatória: cada chave é registrada para um endereço IP de servidor quando você assina, e requisições de qualquer outro endereço são recusadas.
Você registra um endereço IP quando assina. A API só responde a uma requisição quando ela vem desse endereço; de qualquer outro lugar, ela é recusada com ip_not_allowed (HTTP 403).
Para verificar qual endereço nós vemos, chame GET /v1/ping com sua chave: a resposta o devolve. Registre esse endereço.
Você pode alterar o endereço registrado no console. As alterações ficam registradas e são limitadas em número, então registre o endereço de um servidor que você controla, e não o notebook de um desenvolvedor.