Histórico

Vou utilizar a EFI por conta do SDK e documentação que é maravilhosa, mas a questão do WEBHOOK do pix é realmente uma pedra no sapato, não tem nenhum concorrente da EFI que eu tenha conhecimento que utilize mtls, pra implementar isso no meu sistema eu vou ter que mudar toda a estrutura do meu servidor aumento muito o nivel de complexidade para simplesmente receber a confirmação do recebimento. Pensei varias vezes em mudar para outra plataforma por causa disso. Para não ter que fazer a configuração do mtls estou pensando em validar de outra maneira atraves das chamadas mesmo. Assim que o usuario atualizar a tela ou entrar fazer a chamada para verificar. Isso deixa a desejar muito.

Como ta fazendo a configuração no código?

Pessoal estou com esse erro, pixCreateImmediateCharge? alguem pode me dar uma orientação?

Olá, @diogo.f.m.7 e @rubenskuhl. Bom dia!

Gostaríamos de esclarecer que, conforme as normas do Banco Central, as notificações enviadas do PSP recebedor (no caso, a Efí) para o usuário recebedor trafegam utilizando o canal mTLS. Como parte desse protocolo, sempre enviamos o certificado nos webhooks, seja no cadastro ou na notificação de Pix.

Entendemos que em alguns cenários, como hospedagem em servidores compartilhados, pode haver restrições em relação à inserção de certificados. Por isso, disponibilizamos a opção skip mTLS, que permite o cadastro do webhook sem a necessidade do hand shake mTLS por parte do integrador. É importante destacar que, ao optar por utilizar o atributo skip mTLS, o integrador fica responsável por validar o nosso certificado, conforme as orientações que fornecemos.

Ressaltamos que sempre seguimos as diretrizes do Banco Central para garantir a segurança e conformidade de nossos serviços. 🧡

Bom dia, @f1ed7e55d61c2f1af0ae4a2814_43203. A diferença entre eles está no processo de geração do txid (identificador da transação Pix). No método pixCreateDueCharge, sua aplicação é responsável por essa geração, enquanto no método pixCreateImmediateCharge, é a própria API da Efí que se encarrega de gerar a cobrança e o txid.

Bom não sou a voz da toda verdade, mas acredito de tal forma.

Porquer acredito que se o PSP fazer toda a providencia de segurança e regulamento os demais ultilitario deverão cumprir conformebo mesmo e consideram isso os provedores de serviço de hospedagem tvm deveriam se certificar pois a maioria dos clientes hoje em dia usam algum PSP para transmitir algum tipo de serviço ou algo parecido.

Não é questão de desejo... Estou falando por base no que vc ta falando.

A providência pode ser justamente desabilitar a API para a conta ofensora... então cuidado com o que você deseja. 😉

Esse foi um dos modelos sugeridos para o BACEN, que disse não... o que aliás até se voltou contra a segurança quando se descobriu o ataque do webhook via outra conta.

Não não, concordo, foi só uma opinião, de q o webhook é o menor dos problemas... Kkkk

Cartão teria possíveis normas das bandeiras, mas de fato não tem nada nelas obrigando uso de certificado. Boleto poderia ter norma FEBRABAN, mas de fato as normas da FEBRABAN não exigem certificado. Então aí é discrecionaridade da Efí... Pix não.

Era mais fácil o Bacen colocar para só enviar o id da transação, e o cliente fazia uma Consulta...

A api antiga do PagSeguro, era assim, o webhook, só trazia o código da notificação, não era nem o id da transação, e o cliente consumia um endpoint para saber oq era aquela notificação, e o código de notificação, tinha uma prazo para expirar...

https://github.com/bacen/pix-api/issues tem todas as discussões, algumas com posicionamento do BACEN.

Então o PSP que devem tomar está providência.

O certificado para gerar a transação, criar a cobrança, acho q deveria ter em todos os endpoints... Pix, cartão, boleto...

Mas o webhook, vamos ser sinceros, muda nada...

Esse tipo de argumento foi passado para o BACEN, está no histórico do Github do BACEN. Mas não aceitaram, e o padrão é com mTLS. Notar que o webhook do Pix tem mais informações do que só um transaction ID, então isso pode ter colaborado para essa exigência. Ou por homogeneidade com o OpenFinance.

Não é pq o webhook falhou, q o Pix vai ser desfeito... Se o webhook não chegar na aplicação, nada muda, financeiramente...

Até pq, uma opinião minha agr...
O webhook é o ponto "menos importante" pq a transação já aconteceu...

Uma forma de segurança q eu uso, pq vem da época de webhook q não tinha mtls, q é o caso do cartão e boleto, é quando recebo um webhook, não confiar nele, pego o id da transação e eu faço a consulta a api para validar o status...

Sim, multa é só no PSP. Por isso eu disse que a escolha deles é fácil entre a multa e desligar o uso de API que comprovadamente viole o regulamento.