Se cifran con tu frase (AES-256-GCM) y nunca van en el código ni en los ZIP. Si usas el modo “Servidor”, las llaves reales viven en Cloudflare y aquí solo va tu token de acceso.