Gestión de secretos para APIs de IA en producción

Nunca versionamos claves de API. Todas las credenciales sensibles (Gemini API Key, credenciales de Firestore) se gestionan a través de Google Secret Manager con rotación programada e IAM de mínimo privilegio, inyectadas como variables de entorno solo en el runtime de servidor. El código de aplicación nunca sabe 'dónde' vive el secreto, solo lee `process.env`, lo que hace la migración entre entornos (local, staging, producción) transparente.