feat(plataforma): o captacao passa a ler os dois tokens

Vai DEPOIS do commit que selou os Secrets, e nao junto: secretKeyRef de Secret
ausente impede o pod de subir. Os dois ja materializaram no cluster.

PLATAFORMA_WEBHOOK_TOKEN destrava a etapa que recebia o aviso de assinatura e
recusava tudo por falta de configuracao. Falta CADASTRAR o mesmo valor no painel
do Asaas, na conta da Athletic Map — quem for cadastrar le uma vez com:

  kubectl -n plataforma-prod get secret plataforma-webhook-token \
    -o jsonpath='{.data.token}' | base64 -d

PLATAFORMA_ADMIN_TOKEN destrava a consulta de estado do provisionamento, que e
interina e vive no cabecalho x-atm-admin-token.

tenants/plataforma/82-servico-captacao.yaml

@@ -55,6 +55,20 @@ spec:
             # noutro host, este valor muda junto ou o formulario toma CORS.
             - { name: CAPTACAO_ORIGEM, value: "https://plataforma.athleticmap.influxdigital.com.br" }
             - { name: CAPTACAO_RETENCAO_MESES, value: "24" }
+            # P5.1 — o token do webhook de ASSINATURA. Sem ele o endpoint
+            # RECUSA TUDO, de proposito, e o log diz exatamente isso. O mesmo
+            # valor precisa estar cadastrado no painel do Asaas, na conta da
+            # Athletic Map (nao na do cliente).
+            - name: PLATAFORMA_WEBHOOK_TOKEN
+              valueFrom:
+                secretKeyRef: { name: plataforma-webhook-token, key: token }
+            # P5.2 — o token de consulta do estado de um provisionamento. E
+            # segredo NOSSO, diferente do de cima: o Asaas nao tem o que ler
+            # aqui dentro. Interino, no cabecalho `x-atm-admin-token`; o lugar
+            # definitivo e uma tela com papel do Keycloak.
+            - name: PLATAFORMA_ADMIN_TOKEN
+              valueFrom:
+                secretKeyRef: { name: plataforma-admin-token, key: token }
             # P5.3 — de onde vem o certificado PUBLICO do sealed-secrets.
             #
             # A URL, e nao um arquivo: o controlador ROTACIONA a chave a cada