Вариант простой — хранить ключи в отдельном файле, который не попадает в гит, и грузить их через getenv или config-функцию. Можно и в самом сервере через переменные окружения оставить, чтобы в коде их вообще не было. Главное — не забыть исключить эти штуки из коммита, чтобы не светить в общем доступе.