Соглашусь, .env с нормальным .gitignore — самый удобный вариант для большинства задач. В продакшене уже лучше переменные окружения через настройки сервера, чтобы файл с ключами не валялся. Vault и прочие штуки — круто, но для мелких проектов только лишние заморочки. Главное — не забывать про права доступа и не класть секреты прямо в код.