SOPS
Secrets OPerationS — criptografa só os valores de um arquivo YAML/JSON/INI e deixa a estrutura em texto claro, então o arquivo inteiro pode ficar no Git sem vazar nada.
Criado pela Mozilla em 2017, hoje é um projeto da CNCF. Suporta KMS (AWS/GCP/Azure), HashiCorp Vault, PGP e age. Os diffs continuam úteis, porque só os valores mudam. Lê o .sops.yaml para escolher automaticamente a chave certa por arquivo/caminho.
Uso comum: combinado com Helm Secrets, um plugin do Kustomize, ou Flux/Argo com uma chave age dentro do cluster. Concorrentes: SealedSecrets (Bitnami, específico para K8s), External Secrets Operator (sincroniza de um cofre externo), git-crypt (criptografa o arquivo inteiro).