A a abordagem está correta, pois innerHTML sempre é seguro para dados retornados pela API, mesmo sendo uma API de terceiros.
B injetar diretamente a resposta no DOM sem sanitização expõe o sistema a XSS; a resposta deveria ser JSON parseado e renderizado de forma segura.
C o uso de.text()é obrigatório, pois APIs não retornam JSON.
D ofetchdeveria usar o método GET apenas se a API fosse pública.
E o problema central é não usar XMLHttpRequest em vez defetch.