Ага, это все хорошо звучит, но порой просто .env и gitignore — это как повесить табличку "ключи в ящике под ковриком". Если проект вырастет — потом будешь бегать и переживать, что где-то слил. Ну а пока так — пойдет, главное не забыть .gitignore проверить перед пушем, а то малейшая оплошность — и всё, кранты.