Файл .env с gitignore — самый простой вариант, но риски всё равно есть, особенно если кто-то случайно добавит ключ в коммит или сервер взломают. Менеджеры секретов вроде Vault или облачных аналогов защищают лучше, там и права можно настроить четко, и история доступа есть. Но на старте с небольшими проектами это может казаться лишним, так что выбор зависит от масштаба и требований к безопасности.