Separe configurações públicas de segredos
Somente valores destinados ao navegador devem usar o mecanismo público do framework. Credenciais de banco, chaves de assinatura e tokens privados devem ficar no servidor e na configuração protegida da hospedagem.
Quando possível, use serviços e credenciais distintos nos ambientes que não são de produção. Isso limita o impacto de vazamentos em previews e permite redefinir dados de teste sem afetar usuários reais.
Verifique escopo e rotação
Confirme se a variável se aplica a todas as implantações, a um ambiente específico ou a determinada branch ou preview. Após alterá-la, crie ou reinicie a implantação conforme exigido pela plataforma; processos existentes podem manter valores antigos.
Revogue credenciais expostas no serviço emissor, atualize a configuração da hospedagem e implante novamente. Não imprima valores nos logs; verifique presença e formato sem revelar o segredo.