Formato de Notificação e Segurança em API de Cobranças

Diferente da API Pix, a API de Cobranças não tem mTLS. Então seria bem temerário incluir informações já no payload que poderiam ser falsificadas... o modelo que a Efí usa na API de Cobranças é inclusive o mais usual em outros gateways de pagamento, justamente pq dá segurança com menor complexidade.

ok, valeu Rubens

no caso para confirmação de pagamento da API cobranças deve ser feito via polling?

Não, o webhook recebe a notificação, mas ela só tem um token para fazer GET e obter o conteúdo da notificação. Não precisa fazer polling, a não ser que queira fazer.