Masquer un jeton d'API dans un composant de thème

J’ai l’impression d’avoir réussi à écrire un plugin mais je dois le mettre sur GitHub afin de l’inclure dans mon app.yml. Ce qui expose naturellement le token également. Y a-t-il un moyen de contourner cela ?