Всё просто: ключи в коде — гарантированная беда, особенно когда пушишь на гит. Лучше держать их в .env и добавить в .gitignore, чтобы случайно не слить. На серваке переменные окружения — самый простой способ, без лишних заморочек. Для больших проектов можно Vault, но чаще его не юзают. Главное — не забывать, что ключ можно в любой момент поменять, если что пошло не так.