В общем, соглашусь с Жар_Птицей — главная тема это не сливать ключи в публичный гит, а дальше уже проще. Переменные окружения действительно удобны, особенно на локалке. Для продакшена, думаю, лучше использовать какой-нибудь защищённый менеджер секретов, но для маленьких проектов оболочка с .env — без напряга и жить можно.