Se una persona di cui non ti fidi ha accesso al tuo file app.yml, la tua password SMTP è il minimo dei tuoi problemi.