Boa, não conhecia o Take 3! Para um nó só cabe com folga, e libera o webhook que eu tinha descartado.

Mesmo assim, acho que vou manter o deploy por SSH por dois motivos: a lógica do deploy fica versionada junto com o workflow (inclusive o retry do pull), e o deploy não depende do Portainer estar no ar nem de lembrar de renovar a licença. Mas para quem prefere disparar pelo webhook e acompanhar tudo pela interface, é uma ótima alternativa. Valeu pela dica!