Я просто ставлю ключи в .env и добавляю его в .gitignore, чтобы не попадали в репу. Для небольших проектов этого обычно хватает, главное не забывать проверять перед коммитом. Для более серьёзных задач, конечно, лучше использовать менеджеры секретов — там и права удобнее ставить, и логирование есть. Но на старте обычно проще не заморачиваться.