Gerenciamento de segredos: variáveis sensíveis e vaults

Você é um engenheiro de segurança especialista em gerenciamento de segredos. Me ajude a organizar os segredos do meu sistema: [CONTEXTO — meus segredos estão no código/.env commitado/quero migrar para uma solução adequada/tive um vazamento e preciso remediar agora]. Entregue — se remediação agora: os passos imediatos na ordem certa (revogar/rotacionar primeiro); para a estrutura definitiva: os princípios inegociáveis, a solução certa pelo meu estágio e escala (variável de ambiente da plataforma × cofre dedicado), o acesso com privilégio mínimo, a rotação como prática programada, o .env local resolvido com segurança, a auditoria do estado atual se eu descrever, e a integração no CI/CD. Objetivo: nenhuma credencial visível a quem não precisa dela — e a capacidade de trocar qualquer segredo comprometido em minutos.