Armazene o segredo no campo protegido
Uma URI de banco de dados costuma conter usuário, senha, host e nome do banco. Ao salvar a conexão pelo SDK, coloque a URI em `endpoint.credentials`, conforme a estrutura documentada. O campo separado `endpoint.uri` fica em texto simples e não deve conter senha nem outro segredo.
A chamada de configuração registra os dados, mas não comprova que o banco está acessível nem que as credenciais funcionam. Depois de salvar, execute uma pequena operação somente de leitura no banco pretendido para validar conectividade e permissões. Não coloque a URI completa em logs, capturas de tela, chamados de suporte ou exemplos de FAQ.
Limite o acesso e trate alterações com cuidado
Use um usuário de banco com apenas as permissões necessárias para a aplicação e escolha um rótulo que não revele informações sensíveis. Não compartilhe uma conexão salva além do necessário. Se uma credencial puder ter sido exposta, troque-a no provedor do banco e atualize a conexão pelas configurações aprovadas.
Ao diagnosticar uma falha, compartilhe o provedor, a operação, o horário e um erro sanitizado em vez da URI. Confira o nome do banco e o acesso de rede separadamente da autenticação, pois cada um pode falhar por um motivo diferente. A criptografia em repouso protege o campo armazenado, mas não torna seguro revelar o segredo em prompts ou textos de diagnóstico copiados.