É chato sim. Há dois possíveis designs de notificações: um aonde a notificação tem garantia própria de segurança, e aí seu conteúdo pode ser confiado, e o outro aonde só é enviada uma "dica" para se puxar uma atualização. A API Pix padronizada pelo BACEN segue a primeira. A API de cobranças da Efí, a segunda.