Tire a chave de API do código com variável de ambiente, bloqueie o .env no nginx e saiba o que fazer quando o segredo já foi commitado.