Честно, эта вся тема с Vault и отечественными штуками пока для меня сложновата, но понятно, что просто .env в репе — это реально рискованно. Если хочешь норм защиту и меньше геморроя с утечками, лучше всё же связываться с секрет-менеджерами. Конечно, настройка не самая простая, но как минимум не будешь потом бегать и закрывать дыры после случайных сливов ключей.