Testes de Webhooks e Uso do mTLS

para conseguir testar estes webhooks localmente eu tive que utilizar o meu cliente http (Insomnia), acredito que seja o único jeito, aí eu mesmo criava os payloads como se fosse a Efi fazendo. Mas realmente penei um pouco para conseguir testar.

@manbomb, bom dia!
Você pode usar o sitem https://webhook.site/ como URL de webhook para fazer as simulações também. Para isso você deve registrá-lo com o x-skip-mtls-checking = true

ótimo saber disso tbm hein, muito obrigado @guilherme_efi

Interessante. O que me restou de dúvida agora já que não consigo testar, é a parte das duas requisições e como verificar o certificado da EFI do meu lado, para que a primeira requisição seja recusada

Isso o webhook.site não faz. Por isso esse tipo de coisa só é recomendada para uso em homologação.

Nesse site, como é pra teste, você vai usar o atributo x-skip-mtls-checking = true no registro do webhook para ignorar essa validação do mTLS.

isso eu entendi, eu queria mesmo saber como funciona a requisição real partindo da efi. Como seria feita a verificação de certificado do meu lado?

Você coloca a CA privada da Efí como autorizada para fazer as requisições e exige um client-certificate dessa CA, no mínimo. E o melhor é checar também o CN da requisição de que ele é gn-webhook.

A forma de como é feita a validação pode variar de cada servidor, onde é configurado a CA (chave pública) para o hand-shake.
Segue um vídeo exemplificando a configuração do mTLS em servidor Apache:
https://youtu.be/hdyUHzNwVLY?list=PLRqvcUTH2VsWufBmzOdTVeLEOTGrPNoiu

muito obrigado meu amigo. Você tem algum exemplo de configuração para nginx?

Sim, em nossa documentação disponibilizamos um exemplo:
https://dev.efipay.com.br/docs/api-pix/webhooks#exemplos-de-configura%C3%A7%C3%B5es-de-servidor