Не всё так просто с этими ключами — .env и секьюрити-менеджеры работают по-разному, и зависит от задач. Для мелких проектов ещё можно пережить .env, но если масштабируешься, лучше не расслабляться и использовать что-то посерьёзнее, иначе потом будет больно.