私の考えでは~/.config（XDG_CONFIG_HOME）は間違っているようです。なぜなら、ユーザーはどんなファイルがドットファイルストアにコミットしても安全であることを常に知っておく必要があるからです。
答え1
SSHキーの横に置きませんか~/.ssh？同じ目的で使用されているようです。
あるいは、Hashicorp Vaultのようなものを使って秘密を保存することもできます。
答え2
freedesktop.orgを見てください。秘密保管仕様（バージョン 0.2 作業ドラフト)
これにより、ユーザーがログインしたときにロックが解除されるキーリングに資格情報を保存できます。