En un fichero de configuraciones suele ser lo habitual.
twelve factor si bien es orientado a SaaS (Software como servicio) tiene unas pautas bastante útiles para todo tipo de desarrollo:
https://12factor.net/es/config
La configuración de una aplicación es todo lo que puede variar entre
despliegues (entornos de preproducción, producción, desarrollo, etc),
lo cual incluye:
- Recursos que manejan la base de datos, Memcached, y otros “backing
services”
- Credenciales para servicios externos tales como Amazon S3 o
Twitter
- Valores de despliegue como por ejemplo el nombre canónico del
equipo para el despliegue
A veces las aplicaciones guardan
configuraciones como constantes en el código, lo que conduce a una
violación de la metodología “twelve-factor”, que requiere una estricta
separación de la configuración y el código. La configuración varía
sustancialmente en cada despliegue, el código no.
La prueba de fuego para saber si una aplicación tiene toda su
configuración correctamente separada del código es comprobar que el
código base puede convertirse en código abierto en cualquier momento,
sin comprometer las credenciales.
En plataformas específicas hay mecanismos que pueden ayudar, en este hilo hay algunas opciones generales https://security.stackexchange.com/a/12334/174451
Y en este algo mas orientado a windows https://security.stackexchange.com/q/32625/174451
static
asiprivate static string key = "key";
ya que al desensamblar ese código los valores estáticos no se ven (ildasm desensamblador).