Separe configurações públicas de segredos
Um endpoint público de API ou sinalizador de recurso pode ser incluído no código do navegador; senhas, tokens privados e chaves de assinatura não. O JavaScript entregue ao cliente pode ser inspecionado pelos visitantes.
Use a configuração de ambiente documentada pela plataforma para segredos do servidor e mantenha distintos os valores de desenvolvimento, prévia e produção. Não envie credenciais reais ao repositório, logs de build ou arquivos de exemplo.
Faça rotação e verifique com cuidado
Se um segredo for exposto ou o acesso de alguém mudar, substitua a credencial no serviço emissor e atualize a configuração de hospedagem. Pode ser necessário um novo deploy ou reinício; siga o comportamento documentado da plataforma.
Após atualizar, confira a aplicação sem imprimir o segredo em logs ou páginas. Verifique integrações, remova valores obsoletos e revise periodicamente o acesso às configurações de implantação.