Nej nej, der står at de ikke må være et offentligt tilgængeligt sted. Dvs. folk må ikke kunne skrive ditdomæne.dk/client_secret.json og få indholdet frem i deres browser, for den indeholder ting kun du må se. Derfor skal du også passe på med at versionere filen, hvis du bruger f.eks. Git og et offentlig repo.
Men den skal uploades.
Der er flere måder at sikre sådan fil på, så den ikke kan tilgås offentligt. Den bedste er at smide den på et højere niveau end din public mappe på serveren. Hvis f.eks. din index.php skal lægges i en mappe som /html eller /public_html, som er nogle af de mest almindelige, så kan du lægge client_secret.json uden for den mappe, og så linke til den med "../client_secret.json" - hvis ellers klassen understøtter det.
Desværre er der mange webhosts der ikke giver muligheden for at lægge ting uden for public mappen, så et alternativ er at lukke for adgang via .htaccess, hvis det er en Apache server. Du kan f.eks. tilføje:
<Files ./client_secret.json>
Order Allow,Deny
Deny from all
</Files>
til din .htaccess fil, så har udefrakommende ikke adgang til den. Men det er en lidt dårligere løsning, fordi beskyttelsen kan forsvinde, f.eks. hvis du engang kommer til at slette din .htaccess eller lave ændringer i den, eller hvis serveradministratoren fjerner et mod fra Apache.