Чё-то я пока просто держу ключи в отдельном файле с расширением .env и добавляю его в .gitignore, чтобы не залетал в репу. Не знаю, может, так не идеально, но пока нормально. Главное — не тащить ключи прямо в код, иначе кто угодно увидит. Еще слышал, что можно через серверные переменные окружения, но с этим пока не особо разобрался.