Confiança nas APIs com callback e certificados

Minha ideia é nunca confiar no callback, sempre que receber vou consultar na api...

Se você for fazer via API pode usar o Consultar cobrança ou Consultar cobranças recebidos

Como o callback tem mTLS, dá para confiar na integridade e autenticidade. Agora, se perder o callback, aí vale fazer GET .

Bem pontuado pelo Rubens! Com o mTLS que é inclusive exigido pelo Banco Central as informações transitadas são seguras

O certificado utilizado para fazer o callback é diferente do certificado para receber?

O certificado é o mesmo disponibilizado em nossa documentação. Para acontecer o Hand-Shake, o seu sistema deve apresentar o nosso certificado e vamos entregar o nosso também

Eu entendi, mas o de vocês não é o mesmo correto? - Obviamente que não, mas apenas para garantir..

É o mesmo, mas nós temos a chave privada que assina o certificado

Entendi..