Лучше всего хранить ключи в каком-нибудь .env файле, который в гит не попадает — так проще менять и не светить секреты. Переменные окружения тоже норм, особенно если сервер или докер умеют их подставлять. Главное, чтобы файлы с ключами не лежали в папках, доступных из веба — это частая проблема. Встроенные константы с ключами в коде — вообще моветон, рано или поздно сольёшь.