Histórico de mensagens em pix

O importante é seguir os protocolos de segurança, obrigado

Não entendi a pergunta.

Válido para web server é aplicativo?

A Efí não tem como saber se o ambiente de produção está sendo usado para teste (há testes que só dá para fazer em produção), e não tem como saber se você não está testando o certificado na sua aplicação ao invés de no web server. Mas você sabe que não está olhando, então você sabe que mTLS não está sendo seguido... e se um dia a Efí tiver como confirmar isso, eles terão que desabilitar seu acesso.

Perfeito.
Acreditei na hipótese , pois há indicação na doc da Efi.
Entretanto com esse adendo de homologação

https://www.bcb.gov.br/content/estabilidadefinanceira/pix/Regulamento_Pix/II_ManualdePadroesparaIniciacaodoPix.pdf

Página 46

Para a funcionalidade de webhooks, as notificações oriundas do PSP recebedor ao usuário
recebedor trafegarão utilizando um canal mTLS.

Não só envio de Pix, Pix Cobrança também.

O webhook também precisa de mTLS. Os endpoints que você citou são da Efí, que sim requerem mTLS... o endpoint do seu webhook também precisa.

No envio sim

Mas aqui é usado para geração de qrcode, valor e chave , confere ?

mTLS é obrigatório segundo manual de iniciação do Pix e manual de segurança do Pix.

Qual violação? Me ajude entender

Isso não resolve o problema, pois te coloca em violação do regulamento do Pix. Para ambiente de homologação não tem problema, para produção tem.