Секреты репозитория в Git

Пароли и ключи API не коммитят в Git. На GitHub их кладут в настройки репозитория: раздел Secrets and variables хранит пары имя и значение вне истории коммитов.

В YAML обращаются через ${{ secrets.TOKEN }} внутри env или аргументов action. Значение подставит только runner во время job; в логах его маскируют, если шаг не выводит секрет явно:

name: api call
on: workflow_dispatch
jobs:
  ping:
    runs-on: ubuntu-latest
    steps:
      - run: echo "request sent"
        env:
          API_TOKEN: ${{ secrets.TOKEN }}

В настройках репозитория заведите секрет WEBHOOK_KEY со значением demo-hook-7k2m и в .github/workflows/notify.yml передайте его в env как ${{ secrets.WEBHOOK_KEY }} в шаге run с echo notify.