Histórico de mensagens sobre PIX em pix

Essa é só uma das não conformidades da API do Mercado Pago. Tem várias... você pode comparar a API deles, da Efí e qualquer PSP contra o padrão exigido pela norma em:
https://github.com/bacen/pix-api/

Todos os concorrentes da Efí que analisamos que seguiam a API Pix padrão do BACEN tem webhook com mTLS... vários inclusive que requerem certificado ICP-Brasil no webhook, o que é tremendamente não prático. A Efí emite os certificados com CA dela o que é bem simples de usar.

Vou utilizar a EFI por conta do SDK e documentação que é maravilhosa, mas a questão do WEBHOOK do pix é realmente uma pedra no sapato, não tem nenhum concorrente da EFI que eu tenha conhecimento que utilize mtls, pra implementar isso no meu sistema eu vou ter que mudar toda a estrutura do meu servidor aumento muito o nivel de complexidade para simplesmente receber a confirmação do recebimento. Pensei varias vezes em mudar para outra plataforma por causa disso. Para não ter que fazer a configuração do mtls estou pensando em validar de outra maneira atraves das chamadas mesmo. Assim que o usuario atualizar a tela ou entrar fazer a chamada para verificar. Isso deixa a desejar muito.

Pessoal estou com esse erro, pixCreateImmediateCharge? alguem pode me dar uma orientação?

Olá, @diogo.f.m.7 e @rubenskuhl. Bom dia!

Gostaríamos de esclarecer que, conforme as normas do Banco Central, as notificações enviadas do PSP recebedor (no caso, a Efí) para o usuário recebedor trafegam utilizando o canal mTLS. Como parte desse protocolo, sempre enviamos o certificado nos webhooks, seja no cadastro ou na notificação de Pix.

Entendemos que em alguns cenários, como hospedagem em servidores compartilhados, pode haver restrições em relação à inserção de certificados. Por isso, disponibilizamos a opção skip mTLS, que permite o cadastro do webhook sem a necessidade do hand shake mTLS por parte do integrador. É importante destacar que, ao optar por utilizar o atributo skip mTLS, o integrador fica responsável por validar o nosso certificado, conforme as orientações que fornecemos.

Ressaltamos que sempre seguimos as diretrizes do Banco Central para garantir a segurança e conformidade de nossos serviços. 🧡

Bom dia, @f1ed7e55d61c2f1af0ae4a2814_43203. A diferença entre eles está no processo de geração do txid (identificador da transação Pix). No método pixCreateDueCharge, sua aplicação é responsável por essa geração, enquanto no método pixCreateImmediateCharge, é a própria API da Efí que se encarrega de gerar a cobrança e o txid.

Cartão teria possíveis normas das bandeiras, mas de fato não tem nada nelas obrigando uso de certificado. Boleto poderia ter norma FEBRABAN, mas de fato as normas da FEBRABAN não exigem certificado. Então aí é discrecionaridade da Efí... Pix não.

https://github.com/bacen/pix-api/issues tem todas as discussões, algumas com posicionamento do BACEN.

O certificado para gerar a transação, criar a cobrança, acho q deveria ter em todos os endpoints... Pix, cartão, boleto...

Mas o webhook, vamos ser sinceros, muda nada...

Esse tipo de argumento foi passado para o BACEN, está no histórico do Github do BACEN. Mas não aceitaram, e o padrão é com mTLS. Notar que o webhook do Pix tem mais informações do que só um transaction ID, então isso pode ter colaborado para essa exigência. Ou por homogeneidade com o OpenFinance.

Não é pq o webhook falhou, q o Pix vai ser desfeito... Se o webhook não chegar na aplicação, nada muda, financeiramente...

Sim, mas veja na regulamentação do Pix se tem lá qualquer citação a limitação da hospedagem. Não tem.

https://www.bcb.gov.br/estabilidadefinanceira/pix?modalAberto=regulamentacao_pix

Existe obrigatoriedade no PIX e certificado digital SSL em conjunto?
Afinal, existe a obrigatoriedade de utilização do PIX e certificado digital SSL? Essa é uma dúvida latente na mente de muitas pessoas, em especial, empresários. Entretanto, essa obrigatoriedade cabe, apenas, aos bancos e às instituições financeiras, selecionadas para operar na primeria fase do PIX, que devem zelar pela segurança nas transações de seus clientes.

Meteria:
https://blog.validcertificadora.com.br/pix-e-certificado-digital-ssl/#:~:text=Essa%20%C3%A9%20uma%20d%C3%BAvida%20latente,nas%20transa%C3%A7%C3%B5es%20de%20seus%20clientes.

https://www.bcb.gov.br/content/estabilidadefinanceira/pix/Regulamento_Pix/II_ManualdePadroesparaIniciacaodoPix.pdf

As normas do Pix valem para todos, não só para os PSPs. Por exemplo, o manual de uso da marca Pix tem que ser seguido por todo mundo que cita o Pix em suas vendas.

O IP de origem é uma checagem de segurança adicional que é prudente fazer, mas a obrigação do mTLS está definido pelo instituidor do arranjo Pix, o Banco Central. A Efí não pode dizer que na Efí é opcional.

Não depende do ambiente, o manual de segurança do Pix do Banco Central não tem esse tipo de critério.

Alguém sabe me dizer a diferença entre o pixCreateDueCharge e o pixCreateImmediateCharge

Não segundo o regulamento do Pix definido pelo Banco Central.