Ах, эти ключи — вечная тема! В свое время просто в код не лазил с ними, сразу .env заводил, чтобы случайно не выложить. Помню, как пару раз забывал .gitignore обновить, чуть в репу секреты не слил, хорошо вовремя крышу затопило и заметил. А про переменные окружения на серверах тогда еще мало кто говорил, теперь это вообще мода. Главное — не положить пароль в папку, которую веб видит, и вообще жить спокойнее можно.