Come gestite i secrets e le configurazioni in produzione?

Ho trovato credenziali hardcoded nel codice di un collega. Voglio istituire una policy seria. Come gestite secrets e config nei vostri ambienti?

bella discussione su configurazioni — aggiungo che l'aspetto spesso ignorato è il debugging: quanto è facile trovare i bug?