Histórico

entendi, desculpa, vou fazer essa verificação... pois não consegui testar localmente por não ter o https local (há uma saída pra isso?)

Para receber as notificações, o seu servidor precisa estar acessível e aceitar requisições externas. Além disso, o seu domínio precisa ter SSL configurado.
O IP de origem das requisições é: 34.193.116.226.
Se você cadastrou a sua URL sem o parâmetro "ignorar", as notificações de confirmação do PIX serão enviadas para a URL que você cadastrou, com o acréscimo da rota "pix". Ou seja: https:///pix

obrigado pelas respostas anteriores , já elucidou aqui algumas questões

sobre essa questão do skip mtls, estou verificando pelo ip, estou verificando o hmac, ainda preciso também fazer essa questão do certificado?! (estou desenvolvendo usando cloud function)

A verificação pelo IP e HMAC é uma alternativa à configuração mTLS no seu servidor. Você não precisa configurar o certificado e fazer as validações do HMAC e IP.
Se você optar pela configuração mTLS, somente ela já garante a segurança, e você não precisa fazer as outras validações.