Mission : colmater une fuite de mot de passe après un audit

Contexte

L'auditeur de sécurité vient de confirmer ses soupçons : git log -p sur le dépôt de l'équipe révèle un ancien commit contenant password = "MotDePasse123!" en dur dans un aws_db_instance, et le fichier terraform.tfstate local traîne encore, non ignoré, dans le dernier commit. La variable db_password est pourtant bien déclarée avec sensitive = true depuis six mois. L'équipe doit comprendre pourquoi ce marquage n'a rien empêché et reconstruire une chaîne propre, du code jusqu'au backend.