As variáveis para ambiente de testes e desenvolvimento estão no arquivo .env que está sim no repositório, mas isso não é nenhum problema, pois nesses ambientes tudo vai rodar na mesma máquina, seja física ou virtual (Codespaces, Gitpod etc.).

Já os ambientes de produção e de homologação tem variáveis realmente secretas que são inseridas diretamente na Vercel, seja pela CLI ou pelo painel deles.