Robur

Никак. Чтобы на клиенте нельзя было поймать какие-то данные, их не должно быть на клиенте никогда. Если вы этого сделать не можете каким-либо способом, их всегда можно будет увидеть.

Когда вы получаете OAuth токен, его можно использовать много раз пока у него не выйдет срок годности или он не будет инвалидирован другим образом

Яндекс почта бесплатная и позволяет настроить DKIM SPF и все что нужно

копать вот сюда:

Error R10 (Boot timeout) -> Web process failed to bind to $PORT within 60 seconds of launch

Heroku ждет что процесс откроет порт и будет его слушать, процесс видимо этого не делает и Heroku считает что запуск неудачный.
Нужно или в Heroku найти где это поведение настраивается и отключить проверку, либо $PORT настроить на нужный порт если процесс какой-то порт слушает.

Нет никакой проблемы в разделении на файлы и каталоги и подключении этих файлов. Если вас это напрягает - вам нужен нормальный редактор/IDE с навигацией и научиться им пользоваться. Есть много способов структурировать код - разложить по файлам, самый простой. Можно так же сделать все в духе ООП если это имеет смысл.
Для пользователей вашей библиотеки нет разницы как она внутри устроена до тех пор пока все работает, им важно API которое вы предоставляете, вот его надо продумать хорошо. Никому не интересно какие там префиксы у переменных, и запоминать какой префикс что значит тоже никто кроме вас не будет.
Если хочется лучше все очень четко структурировать и понимать что откуда пришло и что из себя представляет - можно взять Typescript.