Gera um par clientId + clientSecret associado à chave pública verified
do tenant. Só pode ser chamado após o POST .../verify ter marcado a chave como
verified.

Formato do retorno: o campo credentials é uma string
base64(encClientId):base64(encClientSecret), onde cada segmento é o
resultado de RSA-OAEP com SHA-256 usando a chave pública do tenant como
chave de cifragem. Descriptografe cada segmento separadamente com a chave
privada correspondente para obter os valores em plaintext:

parts        = credentials.split(':')
clientId     = RSA_OAEP_SHA256_DECRYPT(private_key, base64_decode(parts[0]))
clientSecret = RSA_OAEP_SHA256_DECRYPT(private_key, base64_decode(parts[1]))

Uso subsequente: use clientId/clientSecret no POST /v1/oauth/token
(Basic Auth) para obter tokens de acesso.

Rotação: só existe uma credencial active por par (tenantID, keyID)
por vez. Para rotacionar, faça upload de uma nova chave e gere credenciais
para ela — a antiga continua válida até ser desativada manualmente.