Integração de Certificados e API Shield para segurança

aí eu poderia enviar o certificado para a GN e aplicar a regra de firewall no API Shield da Cloudflare pra rejeitar as conexões sem o certificado

Um meio-termo que já vi empregado em alguns sistemas foi ter algumas raízes autorizadas, e algumas eram de CAs reconhecidas... mas implementar uma trust-store extensa como a das browsers aí já parece meio over. Então vale explorar com eles a idéia de essa CA específica da Cloudflare ser aceita além de uma CA interna da GN.

na comunicação com a API, quem escolhe o arquivo de certificado sou eu. aí tanto faz quem emitiu, raízes, etc, a implantação é igual. mas só a CA não é suficiente no caso dos webhooks. pq o CF vai ter que validar o certificado específico na hora que receber o callback no hostname