ConfigMaps and Secrets: configuración sin convertir en imágenes
ConfigMap contiene configuraciones no confidenciales (claves, fragmentos JSON). Secreto contiene bytes confidenciales: base64 en etcd de forma predeterminada (cifrado en reposo con KMS en producción). Montar como volúmenes o inyectar como env vars: los volúmenes permiten la recarga en vivo para algunas aplicaciones; env es más simple pero estático por inicio de contenedor.