Integração mTLS e Webhooks : Dúvidas Respondidas

essa opcao no header do webhook é para o ambiente dev? se sim, como eu consigo o certificado quando for pra prod?

para os 2 ambientes. o nome certo do header é x-skip-mtls-checking (está errado no postman)

obrigado pela resposta, me tira uma duvida, essa necessidade do mtls foi retirada a pouco tempo? lembro de ter lido aqui a alguns dias que era necessario

A necessidade continua. A GN só não testa na ativação se vc passar esse parâmetro.

Pq flexibilizaram essa questão do mtls? Não era uma exigência do BACEN?

Não flexibilizaram. Os acionamentos continuam exigindo mTLS.

voce conseguiu configurar essa questão do mtls usando o node?

não é bem assim. na verdade, a conexão mTLS não tem como ser validada dos dois lados. quem envia o request manda o certificado e o recebedor é responsável por validar, mas não tem como o emissor impedir que o outro lado "consuma" o request sem validar o certificado enviado. então a norma do BACEN, na prática, obriga o PSP a enviar o certificado e dar meios pro cliente verificar (e rejeitar o request se quiser). mas o EC pode simplesmente ignorar a verificação. o que o novo parâmetro faz é desligar a verificação que a GN faz (por iniciativa dela, não por obrigação) enviando um request sem certificado primeiro para testar se o EC valida. então se vc usa esse parâmetro, você poderá receber callbacks depois, que virão com o certificado, e recebe os dados normalmente mesmo que não valide o certificado (ou seja, sem "fechar mTLS").

O não testar não exime o PSP de validar o cumprimento do manual de segurança pelo EC.