Секрет попал в git: что делать

Первым делом отзываю ключ у провайдера и выпускаю новый. Считаю, что старый уже скомпрометирован: публичные репозитории сканируют боты за минуты, и удаление коммита этого не отменит. Новый коммит, удаляющий ключ, тем более ничего не даёт: ключ остаётся в истории.

Дальше проверяю журналы провайдера: были ли запросы с этим ключом не от нас. Новый ключ кладу в переменные окружения сервера или менеджер секретов, в коде остаётся только чтение из окружения.

Потом, если нужно, чищу историю через git filter-repo и согласую с командой форс-пуш, но это уже вторично. И добавляю профилактику: .env в .gitignore, secret scanning в репозитории и pre-commit хук вроде gitleaks, чтобы такое не повторилось.