Se estiver usando em Javascript não é possível esconde-lo. Note que nem o SDK do firebase esconde, o correto é você usar regras especíificas no firebase. Por exemplo pode habilitar somente leitura para usuários não autenticados.
Como opção, pode usar PHP para fazer a requisção e esconder a chave do lado do servidor
