Histórico de mensagens em devs

Dentro da Cloudflare, não. Fora da Cloudflare, sim.

O Banco Central não especifica que autoridade certificadora assina o certificado, bastando ser uma autoridade reconhecida. Se a Efí usasse a CA da Cloudflare, funcionaria...

Alguma outra alternativa ? Além do Enterprise ?

Boa tarde.

Não entendi. Como assim o caso da Efi

Cloudflare só nos pacotes Enterprise para ter mTLS com CA privada, como é o caso da Efí.

Alguém pode indicar algo

Estou usando o cloudflare e estou com dificuldade pois não estou alcançando o mTLS.

Alguém que possa ajudar no webhook

Oi, @pedrinne. Bom dia! Como vai?
A melhor opção é fazer mesmo a validação informando o CPF/CNPJ e a chave no momento do envio do Pix, usando o endpoint PUT /v2/gn/pix/:idEnvio. Assim, nossa API verifica se a chave Pix pertence ao titular do documento informado, se não for, o envio é recusado.

Consultar a chave antes de enviar o Pix não é seguro, pois a chave pode ser excluída ou transferida para outro titular a qualquer momento. A única exceção é a chave do tipo CPF e CNPJ que só pode ser associada a contas com este documento.

Para ter certeza de que a chave é 'daquela pessoa', você pode exigir que a chave seja do tipo CPF ou CNPJ, assim como a Receita faz para enviar a restituição do IR, por exemplo. Nesse caso, você pode usar uma API para checar se o documento existe e depois fazer o envio. Se o envio não for efetivado, significa que a chave CPF/CNPJ não está registrada em nenhum banco, então poderia notificar o seu cliente sobre.

boa sorte pra eles entao rsrs

E ainda vão te cobrar bounty por descobrirem que seu sistema tem essa falha. 😉

... inclusive pq logo vão usar o seu sistema como proxy para ataques de enumeração.

Se você deixar seu usuário colocar qualquer coisa, não vai ser um problema pequeno não...

okay, mas provavelmente esse vai ser o menor dos problemas uma vez ou outra vai dar chave nao encontrada

Sim. Mas o balde de 100 fichas, por exemplo, gasta só fazendo 5 consultas que dêem chave não encontrada...

contas pj conseguem fazer mais consultas entao?

As da Efí eu nunca vi eles exporem limites do sistema interno deles. Mas mesmo que passe, vai limitar no Banco Central nesta proporção:
"() O tamanho do balde das políticas ENTRIES_READ_USER_ANTISCAN e ENTRIES_READ_USER_ANTISCAN_V2 é categorizado de acordo com o tipo de usuário final realizando a consulta, Pessoa Física (PF) ou Pessoa Jurídica (PJ):

Categoria Tamanho do balde
PF 100
PJ 1.000"

entendi, voce sabe me dizer como eu verifico o limite de requisiçoes por conta?

E além disso, exatamente para não cair nesse tipo de problema operacional, que não há um método de API exportado pela Efí para que se faça isso.