Всё верно, при компиляции webpack заменяет все переменные окружения в коде - на их значения. В итоговом билде - это выглядит как вписанные хардкодно значения в ваше приложение.
у меня это выглядело типо env: { API_KEY: 'AAA-AAAA-AAAA-AAA' } и так далее
различные ключи/токены для подключения к сервисам типа firebase не являются сенситивными с плане приватности, они передаются в открытом виде при обращениях к api естественно в переменных окружения следует хранить только публичные ключи.
28 февраля в 20:00 по МСК Наталья Теплухина(@NataliaTepluhina) расскажет о том как ей удается(и удается ли) сохранять баланс между работой и личной жизнью. В качестве оффтопа обязательно что нибудь будет про vue :)