Ce qui ne doit jamais fuiter

Certaines valeurs donnent le contrôle de quelque chose : la clé de licence (ton serveur), rcon_password (sa console à distance), une clé d'API (un service payant), l'URL d'un webhook Discord (poster sur ton serveur Discord au nom de ton bot).

Trois règles

1. Toujours set. Jamais setr, que chaque joueur connecté peut lire ; jamais sets, affiché dans la liste publique des serveurs.
2. Un fichier à part, secrets.cfg, chargé par exec et jamais partagé. Pas sur GitHub, pas dans une archive envoyée à un développeur, pas dans une capture d'écran.
3. Une fuite se répare en changeant la valeur, pas en la cachant après coup. Une clé publiée ne serait-ce qu'une minute doit être régénérée.

rcon_password

rcon_password active la console à distance. Si tu ne t'en sers pas, ne le définis pas : sans mot de passe, la console à distance reste fermée. Si tu t'en sers, choisis un mot de passe long et unique.

Un exemple réel

# secrets.cfg
sv_licenseKey "..."
set discord_webhook_logs "https://discord.com/api/webhooks/..."
set mon_script_cle_api "..."

Le script qui envoie les logs lit la variable côté serveur : il n'a aucune raison d'être lisible par les joueurs.