Как хранить секреты конфигурации?

ENV/secret manager, не коммитить .env с секретами; разные значения по окружениям.

Разбор

• .env.example без секретов.
• Права на файлы.
• Ротация ключей.
• В контейнерах — secrets оркестратора.

Итог

Секреты вне VCS и с минимальными правами доступа.