Самое простое — держать ключ в .env и добавить его в .gitignore. Тогда точно не окажется в репе. Если на сервер деплоишь, лучше прокидывать переменные окружения напрямую, без сохранения в файлах, чтобы случайно где-то не засветился. Для маленьких проектов этого обычно хватает и не мучаешься с настройками каких-то сложных менеджеров секретов.