Как хранить сторонние пароли? - страница 2 - Разработка расширений для Joomla 3.x

Ключ можно хранить в скрытом виде, например грузить его через file_prepend. Сделать backtrace как проверку, чтобы узнать, вызван ли исполняемый файл напрямую или же он был сначала проинклюжен.

что помешает в конечном итоге просто вызвать апи?

В принципе да, встает вопрос идентификации юзера.......и в конечном итоге, обсуждая реализацию, мы придем к банковским системам 

Короче, всё можно нормально спрятать, если только кто-нибудь не получит доступ к исполняемому файлу, то есть возьмёт, откроет его на запись и изменит. Скажу вам больше: если кто-то получит прямой доступ к серверу какого-нибудь банка, то он также может получить все коды доступа. Не пускайте к себе на сервер никого, спрячьте надёжно обработчик, и никто вас в жизни никогда не взломает.