Então o que já apareceu aqui de alternativa com Cloudflare foi:
1) Criar uma entrada DNS específica para o webhook que não passa pelo proxy da CF, checando mTLS no servidor diretamente
2) Usar o Cloudflare Teams Enterprise, que tem mTLS com CA privada, que só custaria ter 1 usuário e poderia ser acessível.