Histórico

Sugestão: enviar e-mail avisando que o certificado usado para api pix vai expirar cerca de 1 mês antes. O meu expirou sábado e complicou um pouco a vida para resolver

Apoiado, mas notar que o próprio certificado contém sua validade... então é possível já na ativação colocar um alerta para você de quando vai vencer.
Então é bom ter a checagem dos dois lados, dada a criticidade.

sim, coloquei um alerta para mim agora para 2027, mas quando fiz a implementação há 3 anos isso passou batido. Imagino que para muitos deve ter passado também e aí só vi um "Forbidden" vindo como resposta da efí. Até lembrar que existia o certificado gastei um tempinho

Já do certificado do webhook, é bom colocar no seu sistema de monitoração para checar a expiração... mas tem que ser por outro path, pois o do webhook está restrito à Efí.