Ну если честно, хранить ключи в отдельном файле с .gitignore — это классика жанра, кто не закрыл — тот сам себе злобный хакер. А Vault и прочие штуки — это как швейцарский нож для шашлыка, перебор для домашних проектов. Главное — не зарывать голову в песок и хотя бы минимально права доступа на сервере настроить. Все эти танцы с шифрованием и менеджерами — если реально серьезно, иначе голова за круг идёт быстрее, чем польза.