Histórico de mensagens sobre mtls em pix

Mas o número de ambientes com suporte a mTLS com CA Privada é bem reduzido... API Gateway da AWS, o equivalente da Oracle Cloud, Cloudflare Enterprise, mtls.pix.ae e só. Google Cloud e Azure por exemplo não tem.

E eu ficaria muito surpreso se o Heroku suportasse mTLS com CA privada...

Não é. O que dá para fazer no ambiente dev é testar sua configuração de mTLS ao fazer a ativação de webhook. Mas não tem como dar quitação numa cobrança.

Então falta aí a configuração de mTLS

Usar o mtls.pix.ae

temos exemplos do nginx nessa secção: https://dev.gerencianet.com.br/docs/api-pix-endpoints#section-entendendo-o-padr-o-mtls

Pela falha que você informou o que falta é ter o mtls na sua url mesmo. Sugiro que siga os passos do limk que o Rubens enviou anteriormente

Você precisa configurar seu ambiente para em alguma parte ter mTLS como requisito, por exemplo exemplo.com.br/webhook. Essa parte, além do certificado HTTPS do seu site, precisa ter também exigência do certificado da Gerencianet.

Na doc mesmo tem exemplos de configuração com mTLS:
https://dev.gerencianet.com.br/docs/api-pix-endpoints#section-exemplos-de-configura-es-de-servidor

Cloudflare só suporta mTLS com CA privada no plano Enterprise. Se vc tiver CF Enterprise, pode usar CF sim.

Na requisição de registro do webhook você pode adicionar no header o parâmetro x-skip-mtls-checking: true dessa forma não será feita a validação do mTLS para o webhook informado.
É importante ressaltar a necessidade de confirmar que é a Gerencianet enviando a requisição, prevenindo que qualquer outra requisição contendo uma confirmação de pagamento falsa chegue para seu sistema.

Nessa situação, deve ser validado pelo em seu servidor.
Lembrando também que a Gerencianet continua a fornecer a comunicação com mTLS, ou seja, na comunicação da notificação nada mudou.

O API Gateway da AWS e o mtls.pix.ae

Se a hospedagem compartilhada te repassar o certificado cliente de quem está conectando, dá para atender o requisito de mTLS. O requisito é do arranjo Pix, não da GN.

Boa tarde @vitors tudo certo?
Em hospedagem compartilhada não é possível configurar o mTLS por não fornecerem as permissões necessárias.

Não entendi muito bem a parte do mTLS.
Num servidor nginx, o que eu preciso pra fazer funcionar essa parte é desse código da documentação, alterando o "/webhook" pra url que eu vou setar no endpoint e inserindo os certificados ssl e do cliente?

Mas agora ainda é o mesmo erro do ALTNAME invalid ? Pq deu para notar que a parte de mTLS não está configurada, pois esta aceitando requisições mesmo sem mandar certificado cliente.

Usei umas linhas de comando que achei no tutorial do AWS e gerei o certificado truststore, ai joguei la dentro do s3 e passei a referência dele na hora de configurar o mtls

@darknerss vc configurou o mTLS como ?

Aí há alternativas como o API Gateway da AWS e o mtls.pix.ae.

Você tem certeza que o glitch.com suporta mTLS com CA privada ? Acho pouco provável...