Как хранить ключ в переменных окружения?

Локально — файл .env, исключённый из git, читаемый через dotenv-библиотеку. На сервере — env контейнера или secret store (Vault, менеджер секретов облака). В CI — masked secrets пайплайна, никогда открытым текстом в yaml.

Не используйте NEXT_PUBLIC_ и VITE_-префиксы для секретов: такие переменные попадают в публичный bundle. Постоянный ключ в query string — тоже нет: URL оседают в логах и истории.