.env не попадает в Git (есть в .gitignore) — секреты не утекаютДержите в репозитории .env.example со всеми ключами, но без значений — новые разработчики будут знать, что настраивать. В CI/CD инжектируйте переменные через UI провайдера, не через файлы.
Хранение конфигурации в переменных среды — один из принципов 12-Factor App — методологии построения масштабируемых облачных приложений.