Clasifica cada configuración
La configuración pública puede incluir un nombre para mostrar o un punto de enlace público. La configuración sensible incluye credenciales y material de firma. Trátelos de manera diferente al elegir almacenamiento y permisos. El código del navegador es visible para los visitantes: una variable incrustada en una compilación del frontend es pública sin importar su nombre.
Documenta nombres, no secretos
Mantén una configuración de ejemplo con explicaciones y marcadores de posición inofensivos. Valida los valores requeridos al iniciar y reporta un nombre de variable faltante sin imprimir su contenido. Mantén los ajustes de desarrollo, vista previa y producción distintos. Revisa los cambios de configuración con el mismo cuidado que el código.
Rota el acceso deliberadamente
Al reemplazar una credencial, actualice los servicios dependientes y verifique el resultado antes de revocar el valor antiguo cuando el proveedor soporte esa secuencia. Revoque las credenciales expuestas de inmediato. No copie archivos de entorno completos en tickets o registros; comparta nombres y errores redactados en su lugar.
APP_ENV=production
PUBLIC_SITE_URL=https://example.com
API_BASE_URL=https://api.example.com