Ну да, ключи в коде — это почти как оставлять дверь с открытым замком, особенно если случайно пушнуть на гитхаб. Переменные окружения — это уже почти броня, не вопрос. А с Vault вообще сказка, но пока на многих проектах это кажется вычурным. Главное, чтоб потом не бегать менять ключи, как пароли от вайфая — хлопотно и нервно. Так что .env и игнор — самый простой лайфхак, не заморачивайся сильно.