Muitos serviços recebem segredos (chaves de API, senha de banco) por variáveis de ambiente, não por arquivo. Você as vê com printenv ou env.

🔒 Por que importa:

• Segredos em env vazam de formas sutis: por /proc/<PID>/environ (quem lê o processo lê o segredo), por um ps aux que mostre a chave na linha de comando (nunca passe segredo como argumento de comando!) e em dumps/mensagens de erro.
• Regra: segredo em arquivo com permissão 600 (só o dono lê) ou no cofre do serviço; nunca na linha de comando; e o .env sempre no .gitignore.
• Verificar: ls -la .env (deve ser -rw-------, ou seja 600) · grep -RiE "api[_-]?key|secret|password" /etc /home 2>/dev/null | head para achar segredo esquecido em texto puro.
• Esta é a ponte com o Módulo 3 (A.9), onde está a parte de código (process.env, .env, Secrets da plataforma).

PARTE B — Windows (panorama conceitual)

O seu stack é Linux, então aqui o objetivo é entender o modelo, não decorar. Mas em ambientes corporativos, Windows + Active Directory é onde a maioria dos ataques reais acontece — vale conhecer.