O backup que virou texto

Alguém editou o arquivo de configuração do app da Estância Pampa e deixou uma cópia de segurança com o nome settings.php.bak na mesma pasta pública. O settings.php de verdade é executado pelo PHP e nunca mostra o código fonte, mas o .bak tem uma extensão que o PHP não roda, então o servidor devolve o arquivo como texto puro: qualquer pessoa que peça /settings.php.bak lê tudo o que está dentro.

Abra o settings.php.bak e ache o segredo da aplicação (o valor que serve de chave do app, não a senha antiga do banco). Ele está guardado em base64 (prefixo base64:, como no Laravel): decodifique-o para obter a flag.

Responda no formato tocaia{...} com o segredo já decodificado. Exemplo de forma (não é a resposta): tocaia{algum_segredo}.