diff --git a/moldes/consolidado/71-runtime-operacao.yaml b/moldes/consolidado/71-runtime-operacao.yaml
index 6e874f1..d37b0f3 100644
--- a/moldes/consolidado/71-runtime-operacao.yaml
+++ b/moldes/consolidado/71-runtime-operacao.yaml
@@ -59,7 +59,13 @@ spec:
             - name: ASAAS_WEBHOOK_TOKEN
               valueFrom:
                 secretKeyRef: { name: asaas-credentials, key: webhook-token, optional: true }
-            - { name: ASAAS_AMBIENTE, value: "sandbox" }
+            # O AMBIENTE CHEGA JUNTO DA CHAVE, no mesmo Secret: uma chave de sandbox
+            # so vale no sandbox, e os dois sao um fato so. Ausente (o tenant ainda
+            # nao tem subconta aprovada), o runtime fica em sandbox e com a
+            # cobranca desligada. A URL decorre dele — ver AsaasPropriedades.
+            - name: ASAAS_AMBIENTE
+              valueFrom:
+                secretKeyRef: { name: asaas-credentials, key: ambiente, optional: true }
           resources:
             requests: { cpu: 100m, memory: 400Mi }
             limits:   { cpu: "1",  memory: 768Mi }
diff --git a/tenants/escolinha-de-teste-2/71-runtime-operacao.yaml b/tenants/escolinha-de-teste-2/71-runtime-operacao.yaml
index cf3ddae..f684bf2 100644
--- a/tenants/escolinha-de-teste-2/71-runtime-operacao.yaml
+++ b/tenants/escolinha-de-teste-2/71-runtime-operacao.yaml
@@ -59,7 +59,13 @@ spec:
             - name: ASAAS_WEBHOOK_TOKEN
               valueFrom:
                 secretKeyRef: { name: asaas-credentials, key: webhook-token, optional: true }
-            - { name: ASAAS_AMBIENTE, value: "sandbox" }
+            # O AMBIENTE CHEGA JUNTO DA CHAVE, no mesmo Secret: uma chave de sandbox
+            # so vale no sandbox, e os dois sao um fato so. Ausente (o tenant ainda
+            # nao tem subconta aprovada), o runtime fica em sandbox e com a
+            # cobranca desligada. A URL decorre dele — ver AsaasPropriedades.
+            - name: ASAAS_AMBIENTE
+              valueFrom:
+                secretKeyRef: { name: asaas-credentials, key: ambiente, optional: true }
           resources:
             requests: { cpu: 100m, memory: 400Mi }
             limits:   { cpu: "1",  memory: 768Mi }
diff --git a/tenants/escolinha-de-teste/71-runtime-operacao.yaml b/tenants/escolinha-de-teste/71-runtime-operacao.yaml
index 599a750..b65ff20 100644
--- a/tenants/escolinha-de-teste/71-runtime-operacao.yaml
+++ b/tenants/escolinha-de-teste/71-runtime-operacao.yaml
@@ -59,7 +59,13 @@ spec:
             - name: ASAAS_WEBHOOK_TOKEN
               valueFrom:
                 secretKeyRef: { name: asaas-credentials, key: webhook-token, optional: true }
-            - { name: ASAAS_AMBIENTE, value: "sandbox" }
+            # O AMBIENTE CHEGA JUNTO DA CHAVE, no mesmo Secret: uma chave de sandbox
+            # so vale no sandbox, e os dois sao um fato so. Ausente (o tenant ainda
+            # nao tem subconta aprovada), o runtime fica em sandbox e com a
+            # cobranca desligada. A URL decorre dele — ver AsaasPropriedades.
+            - name: ASAAS_AMBIENTE
+              valueFrom:
+                secretKeyRef: { name: asaas-credentials, key: ambiente, optional: true }
           resources:
             requests: { cpu: 100m, memory: 400Mi }
             limits:   { cpu: "1",  memory: 768Mi }
diff --git a/tenants/teste5/71-runtime-operacao.yaml b/tenants/teste5/71-runtime-operacao.yaml
index 98aedc2..65339a6 100644
--- a/tenants/teste5/71-runtime-operacao.yaml
+++ b/tenants/teste5/71-runtime-operacao.yaml
@@ -59,7 +59,13 @@ spec:
             - name: ASAAS_WEBHOOK_TOKEN
               valueFrom:
                 secretKeyRef: { name: asaas-credentials, key: webhook-token, optional: true }
-            - { name: ASAAS_AMBIENTE, value: "sandbox" }
+            # O AMBIENTE CHEGA JUNTO DA CHAVE, no mesmo Secret: uma chave de sandbox
+            # so vale no sandbox, e os dois sao um fato so. Ausente (o tenant ainda
+            # nao tem subconta aprovada), o runtime fica em sandbox e com a
+            # cobranca desligada. A URL decorre dele — ver AsaasPropriedades.
+            - name: ASAAS_AMBIENTE
+              valueFrom:
+                secretKeyRef: { name: asaas-credentials, key: ambiente, optional: true }
           resources:
             requests: { cpu: 100m, memory: 400Mi }
             limits:   { cpu: "1",  memory: 768Mi }
diff --git a/tenants/zico-0/71-runtime-operacao.yaml b/tenants/zico-0/71-runtime-operacao.yaml
index bae498d..a7c7114 100644
--- a/tenants/zico-0/71-runtime-operacao.yaml
+++ b/tenants/zico-0/71-runtime-operacao.yaml
@@ -59,7 +59,13 @@ spec:
             - name: ASAAS_WEBHOOK_TOKEN
               valueFrom:
                 secretKeyRef: { name: asaas-credentials, key: webhook-token, optional: true }
-            - { name: ASAAS_AMBIENTE, value: "sandbox" }
+            # O AMBIENTE CHEGA JUNTO DA CHAVE, no mesmo Secret: uma chave de sandbox
+            # so vale no sandbox, e os dois sao um fato so. Ausente (o tenant ainda
+            # nao tem subconta aprovada), o runtime fica em sandbox e com a
+            # cobranca desligada. A URL decorre dele — ver AsaasPropriedades.
+            - name: ASAAS_AMBIENTE
+              valueFrom:
+                secretKeyRef: { name: asaas-credentials, key: ambiente, optional: true }
           resources:
             requests: { cpu: 100m, memory: 400Mi }
             limits:   { cpu: "1",  memory: 768Mi }