ADR 0005 — Segredos somente em ambiente

• Status: aceito
• Data: 2026-08-07 (endurecido em 2026-09)

Contexto

Senha de banco, JWT de gateway e paths de credencial estavam versionados ou como fallback no PHP. Em operação de IAM/financeiro isso é incidente esperando commit.

Decisão

• Loader próprio (.env / env.txt), sem dotenv Composer.
• backend_env($key, $default, $required = false) — banco e tokens Movingpay de produção são required.
• .env no .gitignore; template em .env.example.
• Google Drive: JSON inline, base64 ou arquivo fora do git (backend/secrets/).
• Relato de vazamento: ../../SECURITY.md.

Consequências

• Container sem DB_PASSWORD não conecta (falha alta e visível).
• Hosting que bloqueia arquivos .* usa env.txt.
• Tokens antigos que já foram commitados devem ter sido rotacionados; se achar um no histórico, trate como vazamento.