Плохо ли хранить токены к API в БД в чистом виде? Если да, то как их хранить?
Шифровать, ключ хранить не в БД а в каком-то конфиге.
Можно сделать отдельный микросервер с ключами.
Не совсем понял чей API, если ваш, то:
Хранить только md5 или любую другую сумму, сравнивать ее же.
У себя не хранить вообще.