Come archiviare correttamente OAuth 2.0 client_id e client_secret in un'applicazione web?

Nel PoC (Proof of Concept) che sto attualmente sviluppando, i dati di un'API vengono consumati e OAuth 2.0 è richiesto per l'autenticazione. L'applicazione funziona già come previsto, gli utenti possono accedere ai dati dall'API utilizzando OAuth.

La mia preoccupazione è come memorizzare correttamente client_id e client_secret dell'applicazione. L'applicazione è costruita con Python 3 + Flask. Attualmente c'è un file JSON nel server che memorizza le credenziali in testo semplice:

tokens.json

{
    "CLIENT_SECRET": "<value>",
    "CLIENT_ID": "<value>"
}

C'è un metodo che legge il file JSON durante il runtime e memorizza i token nelle variabili:

# Get OAuth 2.0 tokens from JSON file 
with open('tokens.json', encoding='utf-8') as tokens_file:
    oauth_tokens_from_json = json.loads(tokens_file.read())

client_token = oauth_tokens_from_json["CLIENT_SECRET"]
client_id = oauth_tokens_from_json["CLIENT_ID"]

Sono abbastanza sicuro che questo non è il modo corretto per farlo, e non sono riuscito a trovare alcuna informazione specifica per uno scenario simile.