Куда чаще всего утекают API-ключи, кроме кода?

Топ мест утечек: application logs с полным Authorization, CI-артефакты, docker history, crash dump, access-логи reverse-proxy, тексты исключений HTTP-клиента, скриншоты терминалов в чатах. Код — лишь одно из мест.

Защита: секрет только в secret store и env, в логи — время, endpoint, модель, статус и X-Request-Id. Периодически ищите значение ключа по артефактам сборки.