Proteger dados .env ou variáveis de configuração [dúvida]

Bom dia a todos!

Gente, tenho uma dúvida!

Muitos desenvolvedores utilizam o framework nodejs com express para trabalhar com API e também estão utilizando o ADONISJS.

Minha duvida seria, em alguns projetos devemos criar configurações onde o usuário cliente não poderá ter acesso a visualização dos dados public de constantes de configuração, url ou banco.

Como protejo essas informações?

Muitas dizem que seria o arquivo .env.

Como protegerei essas informações?

Exemplo firabase como proteger os dados token etc.

Poderiam informar tutorial, curso, vídeo algo a respeito do assunto?

Agradecido!