O certificado mTLS que você faz o download no dashboard é assinado por essa CA tem no pix/webhooks. Então dependendo do seu ambiente (de ele validar ou não a chain completa) você pode precisar da CA para fazer as requisições. Já o seu certificado .p12 você precisa sempre, não só para requisitar o token, mas também para usar o token nas outras requisições.