hardening: Use __secure_getenv if available