Git: subí una contraseña o un .env al repositorio

1. Cambia la clave o el token ya. Si el repositorio es público, da por hecho que alguien la tiene: hay robots que leen GitHub en tiempo real.
2. Que no se vuelva a subir:

echo ".env" >> .gitignore
git rm --cached .env
git commit -m "Quitar .env del repositorio"

3. Borrarlo también del historial (reescribe el historial: avisa a quien tenga el repositorio clonado):

pip install git-filter-repo
git filter-repo --path .env --invert-paths
git push --force --all