.gitignore に .env を入れていて、git clone したディレクトリを何気に削除してしまって .env が失われるというのはあるあるなんだろうか。リモートリポジトリに保存しない情報はどうやって保存やバージョン管理するんだろうか。
@hyuki 12factorでは環境変数に格納しておきましょう、ということになってますが、環境変数をどうやって保持しておくか、という部分は、環境（えーと、どのサービスを使うか）でいろいろと違っているように思えます https://12factor.net/ja/config
環境変数に格納というのは確かにありますね。暗号技術的には最終的に「鍵をどこに置く」に集約されるわけですけれど。よく「ITの避難訓練」を想像することがあります。鍵が漏れたときにどうrevokeして修復するか（話がそれました）
@zundan