Я обычно просто кладу ключи в отдельный файл вне веб-папки и добавляю его в .gitignore. ENV-файлы удобно, но иногда можно случайно запушить в репу. Vault реально круто, но оно для больших проектов и жестких требований, для мелких хватает простого конфига вне публички. Главное — не забывать проверять коммиты, чтобы ничего секретного случайно не залетело.