Den Token sollte man nicht in die yml hardcoden. Einfach über die CI-Einstellung des Projekts in GitLab konfigurieren und in der yml nutzen; dann bleibt die yml auch frei von Credentials. Im Idealfall auch noch als "Masked" Variablen konfigurieren, dann werden die in den CI-Logs unkenntlich gemacht. https://docs.gitlab.com/ee/ci/variables/#add-a-cicd-variable-to-a-project