Histórico de mensagens sobre mtls em pix

Boa tarde, <@!497618632541601797> vou te passar alguns conceitos do mTLS para auxiliá-lo.

Boa noite <@!337383375289712651>. "webhook inválido" é uma resposta esperada dentro da nossa API, como a url respondeu com um código diferente de 200, quer dizer que algum requisito de cadastro do webhook ela não está cumprindo. Verifique na nossa documentação se você está seguindo os passos corretamente: https://dev.gerencianet.com.br/docs/api-pix-endpoints#section-configurar-o-webhook-pix
Sugerimos também que verifique a sessão de validação mTLS que é uma etapa importante do cadastro do webhook: https://dev.gerencianet.com.br/docs/api-pix-endpoints#section-entendendo-o-padr-o-mtls

Você pode receber notificações automaticamente via webhook referente às modificações de status de uma cobrança Pix. Para isso, será necessário a inserção de uma chave pública da Gerencianet em seu servidor para que a comunicação obedeça o padrão mTLS.
Veja mais detalhes em nossa documentação: https://dev.gerencianet.com.br/docs/api-pix-endpoints#section-webhooks

Ou seja, primeiramente para um servidor dedicado, você deve inserir uma chave pública da Gerencianet em seu servidor para que a comunicação obedeça o padrão mTLS (forma de autenticação mutua).
Veja um exemplo desta configuração em um servidor Apache ou Nginx: https://dev.gerencianet.com.br/docs/api-pix-endpoints#section-exemplos-de-configura-es-de-servidor

Então com seu servidor configurado com mTLS em seu domínio (ex: https://seudominio.com.br/webhook/" class="link-msg">https://seudominio.com.br/webhook/), você irá consumir a rota PUT /v2​/webhook/:chave uma única vez para registrar seu webhookUrl vinculado à sua chave Pix.
Acrescentando uma observação que é a adição do /pix no final da sua URL. Ou seja, na request PUT https://api-pix.gerencianet.com.br/v2/webhook/:chave você irá passar o body com sua URL, exemplo:
{
"webhookUrl": "https://seudominio.com.br/webhook"
}

No entanto, a URL será registrada com o /pix no final, assim: https://seudominio.com.br/webhook/pix.
Ou seja, esta adição do /pix também dever ser tratada nas configurações de seu servidor para que na rota /webhook/pix de seu servidor exija o certificado CA da Gerencianet.
Veja mais detalhes sobre o endpoint: https://dev.gerencianet.com.br/docs/api-pix-endpoints#section-configurar-o-webhook-pix

Com isto, todo Pix gerado com sua chave Pix e que possua um txid, serão enviados as notificações para sua URL.

Post da Oracle com mais detalhes do suporte a mTLS em OCI:
https://blogs.oracle.com/cloud-infrastructure/post/announcing-support-for-client-mtls-in-oci-api-gateway

Mas isso tem no free, no Pro ou só no Enterprise ? Pq uma saída que acharam só tinha no Enterprise, por causa da CA privada da Gerencianet. O requisito não é só mTLS com a CA da Cloudflare, que aí teria suporte em mais planos.

Pessoal, volta e meia alguém pergunta de mTLS em plataformas de cloud... onde o AWS funciona (tem mTLS no API Gateway) e o Google Cloud não. Me contaram que no Oracle Cloud também deve funcionar, pois permitem mTLS com CA privada:
https://blogs.oracle.com/cloud-infrastructure/post/announcing-support-for-client-mtls-in-oci-api-gateway

De forma genérica, sim. Mas há especificidades de ambiente como mTLS que são mais exigentes que a API fora de padrão do MP.

Essa falha é referente a tentativa de cadastro em seu webhook, onde não foi possível verificar o certificado (CA). Sugiro você verificar a documentação do mTLS e os exemplos disponíveis (https://dev.gerencianet.com.br/docs/api-pix-endpoints#section-entendendo-o-padr-o-mtls).

Bom dia <@!703339941207343186> !
O mTLS é uma validação de segurança que fazemos.

Boa tarde, <@!546122724163190824>!
Possui sim!
Em nosso documentação você encontra os detalhes dos endpoints para gerenciamento de notificações e sobre as configurações que seu servidor deve seguir para que a comunicação obedeça o padrão mTLS (forma de autenticação mutua).
https://dev.gerencianet.com.br/docs/api-pix-endpoints#section-webhooks

estou usando "https://mtls.pix.ae/" seguido do link do meu webhook

Bom dia, Will! O código 401 é Unauthorized, ou seja, ao enviarmos a requisição de cadastro de webhook ao seu servidor ele não autorizou a comunicação. Vou te passar alguns conteúdos que podem auxiliar na configuração do mTLS.

Configurar pelo NGINX mesmo. O NGINX é um servidor HTTPS muito sólido. E aí só chega no PHP se tiver passado na checagem de mTLS do NGINX, então nem precisa duplicar a checagem. A única coisa interessante de checar no webhook PHP é se a chave Pix é sua mesmo, por causa da possibilidade de uso indevido do seu webhook por outro usuário na GN (que o mTLS em si não mitiga, mas conferir a chave, sim)

Documentação da AWS sobre configuração de mTLS no API Gateway: https://aws.amazon.com/blogs/compute/introducing-mutual-tls-authentication-for-amazon-api-gateway/

Se for um AWS EC2, você pode fazer você mesmo as configurações de mTLS como indicado nos exemplos da GN. Mas se você não tiver controle sobre configurações do servidor HTTPS, aí só usando API Gateway. O que se sabe aqui do canal é que com API Gateway funciona.

Bom dia! Segui todos os procedimentos mencionados naquele vídeo explicativo de como configurar o mTLs no IIS do Windows porém ao tentar registrar meu Webhook na rota /v2/webhook/:chave é retornado um erro de Http 401, alguém já passou por isso???

Até onde os usuários do canal conseguiram apurar, a Cloudflare só tem suporte a mTLS com CA privada (como a da Gerencianet) no plano Enterprise. Nem no plano gratuito nem no plano pago tem esse suporte.

Temos uma estrutura que ta dando um pouco de trabalho com mtls, cloudflare e kubernetes

Bom dia! Alguém já teve a experiência de usar o webhook com mTLS no cloudflare?

Então, Pedro.
Por ser uma configuração de servidor específica e característica da hospedagem da AWS não conseguimos muitos detalhes neste quesito.
Em casos de clientes que utilizam este ambiente conseguiram solucionar criando um subdomínio e o apontando para uma API Gateway, depois realizando as configurações de mTLS seguindo os passos do seguinte tutorial, enviado também pelo Rubens.
https://aws.amazon.com/pt/blogs/compute/introducing-mutual-tls-authentication-for-amazon-api-gateway/

Tendo realizado esta configuração conseguimos averiguar se a URL foi registrada com sucesso, e se está sendo enviada as notificações corretamente.