У меня ключи лежат в .env файлах, которые в гите игнорю через .gitignore — проще пареной репы. Иногда кидаю в секреты CI, чтобы при деплое подставлялись автоматически, без риска выложить в публичный доступ. Главное — не светить их в фронтенде и не пушить в открытые репы, иначе потом точно заморочки с заменой ключей обеспечены.