Если честно, ENV-файлы с .gitignore — это старый добрый способ, который полуторагодовалый проект тянет без сбоев. Главное — не забывать, что ключи тоже могут попасть в логи или дампы, так что паранойя не помешает. Vault и прочие заморочки — на фрилансе развод, для больших систем — да, нормально, но пока туда докопаешься, можно выспаться.