Как по мне, никак. При желании, человек все равно доберется до исходных данных, ведь у него есть исходники на Python
Но если взять извращения, то должна быть скомпилированная программа, которую мы запускаем. Она берет исходный код Python файла/файлов, добавляет в него соль, например в виде даты и времени и секретного слова, и после генерирует хэш. Также, хэш генерируется и в этой программе и сверяет их или же просто напрямую сверяет исходный код с вшитым в программу
Если все ок, то запускается Python скрипт с переданными в него параметрами в виде важных данных, которые будут в будущем использованы
По идее, нужно хорошо подумать, чтобы обойти подобные извращения
Ну или есть взять попроще вариант, можно просто скомпилировать программу на Python, тем самым скрыв её код. Туда же вшить данные из .env, но существуют простые декомпиляторы py файлов, что с легкостью поможет добраться до сокровенной информации