Тут не всё так однозначно. Да, переменные окружения — это базовый уровень, но если серьезный проект, лучше думать о менеджерах секретов. Зашифрованные конфиги — тоже палка о двух концах, если ключ для расшифровки где-то болтается открыто. И главное — не забывать про доступы к серверу, иначе весь этот гемор с хранением ключей может пойти коту под хвост.