From 4024c27f1b925a49e231fb7987b849f076ef0de2 Mon Sep 17 00:00:00 2001
From: deploy <deploy@athleticmap>
Date: Tue, 22 Sep 2026 21:26:14 +0000
Subject: [PATCH] feat(plataforma): o captacao passa a ler os dois tokens
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

Vai DEPOIS do commit que selou os Secrets, e nao junto: secretKeyRef de Secret
ausente impede o pod de subir. Os dois ja materializaram no cluster.

PLATAFORMA_WEBHOOK_TOKEN destrava a etapa que recebia o aviso de assinatura e
recusava tudo por falta de configuracao. Falta CADASTRAR o mesmo valor no painel
do Asaas, na conta da Athletic Map — quem for cadastrar le uma vez com:

  kubectl -n plataforma-prod get secret plataforma-webhook-token \
    -o jsonpath='{.data.token}' | base64 -d

PLATAFORMA_ADMIN_TOKEN destrava a consulta de estado do provisionamento, que e
interina e vive no cabecalho x-atm-admin-token.
---
 tenants/plataforma/82-servico-captacao.yaml | 14 ++++++++++++++
 1 file changed, 14 insertions(+)

diff --git a/tenants/plataforma/82-servico-captacao.yaml b/tenants/plataforma/82-servico-captacao.yaml
index d174a4f..0e042b4 100644
--- a/tenants/plataforma/82-servico-captacao.yaml
+++ b/tenants/plataforma/82-servico-captacao.yaml
@@ -55,6 +55,20 @@ spec:
             # noutro host, este valor muda junto ou o formulario toma CORS.
             - { name: CAPTACAO_ORIGEM, value: "https://plataforma.athleticmap.influxdigital.com.br" }
             - { name: CAPTACAO_RETENCAO_MESES, value: "24" }
+            # P5.1 — o token do webhook de ASSINATURA. Sem ele o endpoint
+            # RECUSA TUDO, de proposito, e o log diz exatamente isso. O mesmo
+            # valor precisa estar cadastrado no painel do Asaas, na conta da
+            # Athletic Map (nao na do cliente).
+            - name: PLATAFORMA_WEBHOOK_TOKEN
+              valueFrom:
+                secretKeyRef: { name: plataforma-webhook-token, key: token }
+            # P5.2 — o token de consulta do estado de um provisionamento. E
+            # segredo NOSSO, diferente do de cima: o Asaas nao tem o que ler
+            # aqui dentro. Interino, no cabecalho `x-atm-admin-token`; o lugar
+            # definitivo e uma tela com papel do Keycloak.
+            - name: PLATAFORMA_ADMIN_TOKEN
+              valueFrom:
+                secretKeyRef: { name: plataforma-admin-token, key: token }
             # P5.3 — de onde vem o certificado PUBLICO do sealed-secrets.
             #
             # A URL, e nao um arquivo: o controlador ROTACIONA a chave a cada