El .env nunca sube a Git

Tu archivo de llaves vive en el proyecto. Si sube a GitHub, las llaves quedan expuestas para siempre. Necesitas una valla que lo impida.

Git tiene una lista de prohibidos. Escribe .env ahí y git lo ignora. Una línea. Eso es la diferencia entre una llave protegida y expuesta.

Tres archivos: .env real (ignorado), .gitignore (la regla), .env.example (plantilla vacía que sí sube). La línea !.env.example es la excepción.

Configura el .gitignore primero. Si subes el .env una vez, sigue vivo en el historial aunque lo borres. Problema que no existe si está bien desde el minuto uno.

Las llaves sueltas .key o .pem, los JSON de credenciales, bases de datos locales y datos de clientes. En DS-FORGE, copiar .env.example y llenarla es el primer paso.