Как правильно хранить конфиги на продакшене?
Конфиги nginx позволяют делать include, поэтому можете все sensitivity данные выложить в отдельный файлик, и добавить его в .gitignore, а остальное можно и в гите хранить (но лучше не гитхаб, а свой).
Стандартный велосипедный способ для конфигов - перед тем как поменять config.cfg делаешь
cp config.cfg config.cfg-yymmdd
можно и им обойтись.
VCS - наше все :) Тип выбираете по вкусу - централизованные, распределенные... Единственное что, как верно заметили - не хранить ключи, пароли, никакой такой информации.