Des secrets dans le dépôt ?

• compose.yaml : le mot de passe librairie de la base de développement. Acceptable : cette base ne vit que sur le poste du développeur, sans donnée réelle.
• db/dev/V2_1__comptes_developpement.sql : les empreintes BCrypt de mots de passe connus. Acceptable pour le développement, et c'est pourquoi ce fichier n'est pas appliqué en production.
• compose.production.yaml et application-prod.yml : seulement des références à des variables. Correct ; un vrai mot de passe à leur place serait une faute (il resterait dans l'historique Git même après correction).

Le premier administrateur se crée par une opération à part : une commande SQL exécutée par l'exploitant avec une empreinte qu'il a calculée lui-même, ou une petite fonction de l'application, activée une seule fois, qui crée le compte à partir d'une variable d'environnement. Dans les deux cas, le mot de passe ne passe jamais par le dépôt.