diff --git a/tenants/plataforma/82-servico-captacao.yaml b/tenants/plataforma/82-servico-captacao.yaml
index d174a4f..0e042b4 100644
--- a/tenants/plataforma/82-servico-captacao.yaml
+++ b/tenants/plataforma/82-servico-captacao.yaml
@@ -55,6 +55,20 @@ spec:
             # noutro host, este valor muda junto ou o formulario toma CORS.
             - { name: CAPTACAO_ORIGEM, value: "https://plataforma.athleticmap.influxdigital.com.br" }
             - { name: CAPTACAO_RETENCAO_MESES, value: "24" }
+            # P5.1 — o token do webhook de ASSINATURA. Sem ele o endpoint
+            # RECUSA TUDO, de proposito, e o log diz exatamente isso. O mesmo
+            # valor precisa estar cadastrado no painel do Asaas, na conta da
+            # Athletic Map (nao na do cliente).
+            - name: PLATAFORMA_WEBHOOK_TOKEN
+              valueFrom:
+                secretKeyRef: { name: plataforma-webhook-token, key: token }
+            # P5.2 — o token de consulta do estado de um provisionamento. E
+            # segredo NOSSO, diferente do de cima: o Asaas nao tem o que ler
+            # aqui dentro. Interino, no cabecalho `x-atm-admin-token`; o lugar
+            # definitivo e uma tela com papel do Keycloak.
+            - name: PLATAFORMA_ADMIN_TOKEN
+              valueFrom:
+                secretKeyRef: { name: plataforma-admin-token, key: token }
             # P5.3 — de onde vem o certificado PUBLICO do sealed-secrets.
             #
             # A URL, e nao um arquivo: o controlador ROTACIONA a chave a cada