Вариант простой — хранить ключи в отдельном файле, который не попадает в гит, и грузить их через getenv или config-функцию. Можно и в самом сервере через переменные окружения оставить, чтобы в коде их вообще не было. Главное — не забыть исключить эти штуки из коммита, чтобы не светить в общем доступе.

Честно, все эти заморочки с отдельными файлами и env это хорошо, но иногда проще держать ключи в серверных переменных окружения и не париться с гитом вообще. Главное потом не забывать, что это там реально настроено и не слетело. В самом коде ключи точно лучше не лепить, а так остальное уже на вкус и цвет.