<script> window.MY_CONTORA.config = ${JSON.stringify(process.env)} </script>
Норм, мы в нескольких проектах так делали.
Еще был прикольный вариант с куками. На стороне nginx было правило, что если в ответ отправляется html, то делается Set-cookie без HTMLOnly. JS потом этот куки вычитывает