Раньше вообще тупо в файлик скидывал ключи, и то с риском сливать в гит. Сейчас уже понял, что хранить где-то отдельно — это норм, но прям заморачиваться с Vault и сверхзащитой иногда перебор. У меня сейчас проще: для локалки .env, для продакшена — переменные окружения на сервере или в облаке, чтобы CI мог подтягивать. Не идеально, зато работает и не парюсь слишком сильно. Главное — не держать ключи в репе и права на доступ строгие.