Честно, для меня проще всего ключи в отдельный .env файл класть и в gitignore добавлять, чтобы не залетели в репозиторий. Потом через phpdotenv их подтягиваю, и всё. Нет головной боли с безопасностью, и главное — ключи не валяются в открытом виде. Для небольших проектов это, кажется, самый удобный способ.