A prática usual é colocá-los em um arquivo separado e colocá-lo fora da raiz da web. Veja esta resposta para detalhes.