機密情報をリポジトリへ入れないためには？

APIキーやパスワードなどの機密情報は、絶対にGitにコミット（保存）せず、環境変数やgitignoreで除外したローカルの設定ファイルで管理します。

GitHubなどのリポジトリに機密情報を含めてしまうと、たとえプライベートリポジトリであっても、メンバーのPC経由での流出や、悪意あるボットによるクラウド資源の不正利用（高額請求）を招くからです。

機密情報を記述した secrets.jsonのようなファイルを作成し、即座に .gitignoreに追加してGitの監視から外します。CI/CDサーバー上では、GitHub Secrets等の安全な環境変数機能を使って注入します。