Кажется, тебе всё равно придётся хранить ключи во внешнем хранилище (коммитить пароли и токены в код в нешифрованном виде небезопасно, а в шифрованном — бессмысленно), но в коде приложения можно их перечислить и завайтлистить — это позволит контролировать состав ключей через пул-реквесты, а в коде мб добавить валидацию на обязательные ключи, чтобы при конфигурации продакшена не ловить подземные стуки из-за недостающих ключей.
Вроде бы гит крипт позволяет только определенный файл шифровать, так что можно рядом два файла держать, с открытый с ключами и зашифрованный, а если уж захочу в рантайме обновлять значения то можно угореть и сделать сервисную страничку где будет простенький диф значения с Гита+то что в памяти и кнопочка подтверждения) но это уже наркомания наверно, применения настроек на стартапе достаточно