Какую часть проекта (инет магазина на Kohana) нельзя заливать в публичный репозитарий с точки зрения безопасности?

Вы все правильно написали. Если Вы положите файлы конфигов (доступ в бд, соль для создания паролей пользователей и тд) в .gitignore , то Ваш проект нельзя будет запустить на локальной машине. Я бы посоветовал создать 2 конфига dev и prod. Последний я добавил бы в .gitignore, а dev оставил бы со стандартными доступами к бд на локалке (localhost, root, root). Так же стоит написать в Readme.md среду для запуска Вашего приложения (php7. 1, MySQL 5.6 и тд)