Faz parte do material de Security que eu montei a partir das minhas entrevistas. Abaixo, a resposta em inglês e, quando existe, a pegadinha mais comum.
A resposta, como você fala na entrevista
Keep secrets out of source code, committed configuration, logs, and client bundles. Retrieve or inject them through an authorized mechanism such as a secrets manager, using least-privilege access.
Define rotation, revocation, and reload behavior. If a secret is exposed, revoke or rotate it and investigate its use. Deleting it from the latest commit does not invalidate copies or remove it from history.
Ler é o primeiro passo. No app, essa pergunta vira flashcard com repetição espaçada, e o módulo tem quiz e simulado para testar o que ficou.
Treinar essa pergunta no app