diff --git a/tenants/escolinha-de-teste/05-sealed-db-credentials.yaml b/tenants/escolinha-de-teste/05-sealed-db-credentials.yaml
new file mode 100644
index 0000000..5ab23cc
--- /dev/null
+++ b/tenants/escolinha-de-teste/05-sealed-db-credentials.yaml
@@ -0,0 +1,23 @@
+# =============================================================================
+# P5.3 — gerado pelo provisionamento. NAO edite a mao.
+#
+# A senha em claro NUNCA existiu em disco: foi gerada em memoria, selada com o
+# certificado PUBLICO do controlador e zerada. Ninguem a conhece, e ninguem
+# precisa: quem a le e o proprio Postgres, pelo Secret que este arquivo cria.
+#
+# Escopo ESTRITO: este cifrado so abre para o Secret `db-credentials` no namespace `escolinha-de-teste-prod`.
+# Copiar o bloco para outro tenant NAO funciona, e e assim que tem de ser.
+# =============================================================================
+apiVersion: bitnami.com/v1alpha1
+kind: SealedSecret
+metadata:
+  name: db-credentials
+  namespace: escolinha-de-teste-prod
+spec:
+  encryptedData:
+    password: AgBRiIlAYnwFzbhws+3qThU5ROgmfImP3XzNdSLEjiFIeuWjYEUfmjx0z/YwHKfiULp1/Y2JyopQDqzYWwWUfbgrZdXrCqg2RhVz5XaFVhvVWFrZ+XVUxd5HaITiskTcbueUbw4Cob3uyzkcaBQDn+gNRaauj8XlEytI54U59uK1Y6IalX7bkS2nZd8GUaRlOMvOWRK1jRPubB1g/l8U+fO718SzGCgEWo3V7bfMiLUEbTW8YcU45sRsQfx25/QCiX4WU66hggrh5spd5xNjP0SZoJFP8XTXWVEOfdPS4Gpnij9THRh75iB80zH3k+Kb2vj9bE3NWW9aucwBcuaKJ/59YAC6XAkDesgVqA/2z6/vAAmwYcrxGBUDqYLHxA/olL/sx1ky61qTHkukZRj+OGw3ig7Hfk/79TG1kQRHBGxg6pUMLvkp4K9jkmNw7Z2svHt0qnJSUK3A15P3XPa53gwRT3eeVFjboWz6h4aCStY1/nLOUxULoZBJhe2PHA733pCH5n+dhMge3hX+zKHyl9A+b9/PonFMh6IBSIhfku3MfuvpXE/dE3SpdVdkijdoBCdnB3+iJmrFcM0plK5ylnq++5IgHh//0svzZ2BoaidVAVdRaOQGMr9Uu91FKgBNJdupbCyf+12cR6sZlr/RIbNNsYCfzgc1OWy77WEs93KOuP/APPupiapyonBt+GaVkiBp4i90On/0EoXF7/VC0D92mj0xTsWuWOjp+ZGosUcFw0NzAJKStaJZmlp8
+  template:
+    metadata:
+      name: db-credentials
+      namespace: escolinha-de-teste-prod
+    type: Opaque