Termos mais procurados:
Recursos de segurança que atrapalham o lado funcional não são úteis. O pessoal desde sempre utilizou webhook e ainda utiliza, sem mTLS, e nunca teve problemas. Inclusive MercadoPago funciona dessa forma, as IPNs não pedem certificado nem nada do tipo.
MercadoPago é um mal exemplo de desobediência a padrões. Aqui MP não entra nem de graça.
E o que você mesmo de diz de que não são úteis mostra que sem um requisito mandatório, nada vai ser feito por segurança. Eu lido com devs nessa discussão há mais de 20 anos, e é sempre o mesmo papo-aranha.