テーマコンポーネントでAPIトークンを非表示にする

プラグインを作成できたと思いますが、app.ymlに含めるためにGitHubに配置する必要があります。当然、トークンも公開されます。これを回避する方法はありますか?