Короче, сидишь такой, пишешь PHP-код, который дергает сторонний API, и тут вопрос — как клалить эти ключи, чтобы их не увидеть весь интернет? В новости про скомпрометированные проекты постоянно натыкаюсь на то, что кто-то залил ключи в репу, и потом потом хомячки спокойно пользуются.

Кто работал с этим на практике? Интересует именно реальный опыт, а не общая теория.