diff --git a/tenants/plataforma/30-ingress.yaml b/tenants/plataforma/30-ingress.yaml
index 9d7df84..ccab9af 100644
--- a/tenants/plataforma/30-ingress.yaml
+++ b/tenants/plataforma/30-ingress.yaml
@@ -98,6 +98,9 @@ spec:
           # (`SecurityConfig`, permitAll), mas sem esta linha o Ingress devolvia
           # 404 — nao ha catch-all aqui, por desenho.
           - { path: /api/public/conta, pathType: Prefix, backend: { service: { name: servico-captacao, port: { number: 80 } } } }
+          # LICENCA do tenant: o app do treinador manda a chave (POST) e descobre a escola.
+          # So este caminho EXATO; a emissao (/api/plataforma/licencas) NAO sai na borda.
+          - { path: /api/public/licencas/ativacao, pathType: Exact, backend: { service: { name: servico-captacao, port: { number: 80 } } } }
 
           # O PAINEL DO COMPRADOR e o PAINEL DO DONO. Sem estas duas linhas as
           # chamadas caiam no `/` do front, que as repassava a OUTRO servico — o