Как организовать settings.py для разных окружений (dev/staging/prod) и работать с секретами?

Разделите на settings/base.py + dev.py + prod.py либо используйте django-environ / pydantic-settings. Секреты (SECRET_KEY, DATABASE_URL) — только через переменные окружения. DEBUG=True ТОЛЬКО в разработке. ALLOWED_HOSTS обязателен в проде.