Как зашифровать АПИ токен на стороне клиента?
Не надо так делать. Стоит выбрать правильную авторизацию в API. Не знаю что у вас за система, но что мешает сделать обертку, в которую пускать пользователей по из персональным токенам или сессиям?
дополнительно шифровать токен достаточно бессмысленная вещь - тк он уже представляет из себя зашифрованные данные. 
Если требуется бОльшая безопасность у токена записывают короткое время жизни и требуют регулярно его обновлять (например каждый час), используя еще один токен)