Histórico de mensagens em pix

Notar que não adianta ser sub-domínio, pq o certificado de sub-domínio é publicado no Certificate Transparency. Tem que ser path. (só para quem buscar este conteúdo notar isso)

Só a questão de checar o IP mesmo que não fiz.

Checar a chave Pix do webhook e comparar com a chave da cobrança daquele txid. -> Isso está sendo feito também no servidor.;

Colocar a URL do webhook num diretório não óbvio, tipo api.exemplo.com.br/sduasiduasiduai . Aí quem sabe é pq foi informado pela GN. -> Isso eu fiz pra "AJUDAR" na segurança;