Я просто держу ключи в .env файлах и не пушу их в гит. Когда случайно залил — сразу поменял ключ. Главное не оставлять их в коде, чтобы не слили случайно. По ощущениям, так надёжнее просто и без заморочек.