Histórico

Essa é só uma das não conformidades da API do Mercado Pago. Tem várias... você pode comparar a API deles, da Efí e qualquer PSP contra o padrão exigido pela norma em:
https://github.com/bacen/pix-api/

Só Access Token e já era

Mercado Pago não precisa validar nada, muito mais fácil mexer com a API deles

Entendi... complicado essa validação aí

Um possível parâmetro para isso seria o header X-SSL-CERT ou X-Client-Certificate. Quem pode te dizer qual parâmetro é, se é que sua hospedagem faz isso, é a hospedagem.

O servidor HTTP teria que te repassar o certificado de quem conectou, e aí na sua lógica você checa esse parâmetro.

Entendi. Só não entendi ainda como que faz pra verificar mas valeu pelo esclarecimento.

Pq é que vc que tem verificar. Eles mandam o certificado.

Veja o comentário da própria Efí acima. Eles dizem pra verificar o certificado.

Parâmetro ".headers['x-skip-mtls-checking']", deve ser igual a um dos valores predefinidos

Alguém saberia me dizer como resolver isso?

Todos os concorrentes da Efí que analisamos que seguiam a API Pix padrão do BACEN tem webhook com mTLS... vários inclusive que requerem certificado ICP-Brasil no webhook, o que é tremendamente não prático. A Efí emite os certificados com CA dela o que é bem simples de usar.

Obrigado @ksevendev já deu certo