Лучше всего держать ключи в переменных окружения и ни в коем случае не пушить в гит. Для простых проектов этого обычно хватает. Если же проект серьезный, можно подключить менеджеры секретов — они автоматом контролируют доступ и упрощают обновление ключей. Главное, чтобы сервер был под защитой, тогда меньше шансов, что кто-то их стянет.