Хранить ключи в .env и сразу же добавлять их в .gitignore — базовый минимум, без этого рискуешь случайно выложить в репозиторий. Для продакшна лучше использовать переменные окружения или секреты в CI/CD — так ключи не бросаются в логи и сложно их украсть. В больших проектах стоить подумать о хранилищах типа Vault, чтобы централизовать управление и автоматом менять ключи при необходимости.