Les secrets sont chiffrés au repos et masqués dans les journaux : ils sont utilisés pour les jetons, les clés privées et les webhooks. Les variables sont une configuration simple : elles conviennent aux ID non sensibles, aux points de terminaison qui sont de toute façon publics ou aux bascules de fonctionnalités qui ne constituent pas des limites de sécurité. L'égarement entraîne des fuites d'argent (clés API abusées) ou de temps (rotations).