Separa ajustes públicos y secretos
Solo los valores destinados al navegador deben usar el mecanismo público del framework. Las credenciales de base de datos, claves de firma y tokens privados deben permanecer en el servidor, dentro de la configuración protegida del alojamiento.
Cuando sea posible, usa servicios y credenciales distintos para entornos que no sean producción. Así limitas el impacto de una filtración de vista previa y puedes restablecer datos de prueba sin afectar a usuarios reales.
Comprueba el alcance y la rotación
Confirma si una variable aplica a todos los despliegues, a un entorno concreto o a una rama o vista previa. Después de cambiarla, crea o reinicia el despliegue según lo requiera la plataforma; los procesos existentes pueden conservar el valor anterior.
Rota las credenciales expuestas en el servicio emisor, actualiza la configuración del alojamiento y vuelve a desplegar. No imprimas valores en los registros; verifica presencia y formato sin revelar el secreto.