Храню ключи в .env, который в .gitignore, чтобы случайно не вывалились в репу. Если деплою через докер — прокидываю их через docker secrets. Главное — никогда не тащить ключи в открытый код, а иначе потом пожалеешь. Для маленьких проектов этого вполне хватает.