Certo, caso você vá usar o mTLS ele é obrigatório, porém é possível utilizar o skip-mTLS que permite que você configure sem ele, fazendo isso você reduz a segurança do webhook, como alternativa de segurança, você pode implementar um hash HMAC em sua URL, dessa forma você terá uma segurança maior do que não utilizar método para garantir a autenticidade da comunicação.