Указан, но смена пароля не работает в rails-консоли. Точнее, он меняет пароль, но перец не докладывает. Как проверил: поменял пароль, затем отключил в конфиге наличие перца. И все чудесно прологинилось.
А вот если через браузер-интерфейс при смене пароля на соответствующей вьюхе, то да, поменяет.
Фишка в том, что у нас разные модели юзера, одни без проблем поменяют пароль через вьюху, а другим меняет только админ, соответсвенно, через консоль.  А через консоль пароль апдейтится без докладывания туда перца. Надо его как-то по правильному туда подпихнуть

Но девайс сам должен это делать. Можешь конечно попробовать заапдейтить пароль на password+pepper

но он просто в конец стринги пароля добавляет, а потом только хеш делает?

По уму надо делать отдельную логику под это все дело, чтобы умела логика с префиксами работать, с резервированием, сквозной нумерацией (если надо)

Или если номер присваивается при сохранении это лишнее?

Надо добавить уникальность в БД на это поле. А при сохранении проверять на ошибку уникальности по этому полю (Не activerecord, а БД) и вызывать сохранение заново. Потому что если делать не с помощью сиквенсов, то есть вероятность одновременного создания номеров.

В бд уникальность на этом поле уже есть, эт я догадался) сохранение у меня делается вроде бы правильным способом через if и если оно неудачно то можно обработать ошибку и повторить

Надо отлавливать ошибку ActiveRecord::RecordNotUnique https://api.rubyonrails.org/classes/ActiveRecord/RecordNotUnique.html

А этого недостаточно??? - if @order.save