Ключи и вообще все настройки (логины/пароли/адреса/порты) удалённых сервисов, разного рода сертификаты, почтовые адреса рассылки.
Метод хэширования можно не скрывать если он не совсем простой (md5($password)) и при хэшровании используется какая-то "соль", которую не стоит включать.
