Como Jay disse, se alguém obtiver acesso ao seu app.yml, você terá outros problemas. Isso significa que provavelmente eles têm acesso root completo ao seu servidor, incluindo seu banco de dados de produção.
A melhor prática aqui é garantir que seu servidor esteja seguro.