Пароль от базы в файле конфигурации, который лежит в репозитории, — норма во многих про...
Пароль от базы в файле конфигурации, который лежит в репозитории, — норма во многих проектах, пока не случается утечка. Минимальные шаги, доступные всем. Вынести секреты из репозитория в отдельный файл с правами 600 и владельцем — пользователем сервиса. В репозитории — только пример без значений. Переменные окружения через systemd: EnvironmentFile указывает на файл с секретами, приложение читает их из окружения. Права на файл при этом остаются жёсткими. Разные пароли для разных сред. Один и тот же пароль на тесте и в проде означает, что доступ к тесту равен доступу в прод. Ротация. Хотя бы для сервисных учётных записей с широкими правами, хотя бы раз в год, и обязательно после увольнений. Дальше — хранилище секретов с выдачей по запросу и аудитом. Это следующий уровень, но начинать стоит с первых пунктов: они дают основной эффект. И проверьте историю репозитория: удалённый из файла пароль остаётся в коммитах навсегда. Где у вас сейчас лежат пароли от баз?