Se eu mudar o webhook da tua conta, apenas a nova url vai receber notificação.. então não serve para nada...
Agora se eu pegar sua url e enviar uma notificação de RECEBIDO, você deve consultar...
Sem um certificado, qualquer um poderia fazer um for com getTxID() e enviar notificação..
Com o certificado, qualquer um que já tenha o certificado...
Termos mais procurados: