Самая частая реакция на найденный в коде секрет: удалить строку и закоммитить. Это худшее, что можно сделать, потому что это создает ложное чувство, что проблема решена. Git хранит историю: удаленный из текущей версии ключ остается в предыдущих коммитах, во всех ветках, у всех, кто уже склонировал репозиторий, в форках, в зеркалах и в кешах CI. Как только секрет попал в историю, его нужно считать скомпрометированным, независимо от того, публичный репозиторий или внутренний. Правильная работа с утечкой — это три отдельные задачи: найти, заменить, не допустить повторно...