Histórico de mensagens sobre mtls em pix

A URL ja possui o certificado fullchain e chave privada. O que você precisa verificar é se a plataforma disponibiliza meios de você colocar a nossa chave publica para validação mtls

Fala pessoal, Boa noite.

Gostaria de retirar uma duvida referente ao SSL que precisa ser configurado para o Webhook.

Atualmente estou criando um aplicativo em flutter e utilizando o Functions (firebase) para realizar algumas chamadas de API, e é onde estou configurando os endpoints necessários para o pix funcionar corretamente.

E eu gostaria de saber como posso obter esse SSL sem a necessidade de precisar contratar mais um serviço para realizar a hospedam de uma api.

Esses campos de SSL são estritamente necessários ?

const httpsOptions = {
cert: fs.readFileSync(""), // Certificado fullchain do dominio
key: fs.readFileSync("/"), // Chave privada do domínio
ca: fs.readFileSync(""), // Certificado público da Gerencianet
minVersion: "TLSv1.2",
requestCert: true,
rejectUnauthorized: false, //Mantenha como false para que os demais endpoints da API não rejeitem requisições sem MTLS
};

O mTLS é a configuração realizada no servidor para o recebimento de notificações acerca de pagamentos, por exemplo.
No caso, os endpoints do Pix você precisar enviar junto com as credenciais Client_Id e Client_Secret um certificado.
No link a seguir você pode visualizar alguns exemplos: https://sejaefi.link/B1eRe-a4U3
Ou você pode usar uma de nossos SDKs também: https://github.com/gerencianet

mTLS

A Efí não tem como saber se o ambiente de produção está sendo usado para teste (há testes que só dá para fazer em produção), e não tem como saber se você não está testando o certificado na sua aplicação ao invés de no web server. Mas você sabe que não está olhando, então você sabe que mTLS não está sendo seguido... e se um dia a Efí tiver como confirmar isso, eles terão que desabilitar seu acesso.

https://www.bcb.gov.br/content/estabilidadefinanceira/pix/Regulamento_Pix/II_ManualdePadroesparaIniciacaodoPix.pdf

Página 46

Para a funcionalidade de webhooks, as notificações oriundas do PSP recebedor ao usuário
recebedor trafegarão utilizando um canal mTLS.

O webhook também precisa de mTLS. Os endpoints que você citou são da Efí, que sim requerem mTLS... o endpoint do seu webhook também precisa.

mTLS é obrigatório segundo manual de iniciação do Pix e manual de segurança do Pix.

Exemplo:

curl --cert-type P12 --cert seu_certificado.p12 --location --request PUT 'https://api-pix.gerencianet.com.br/v2/webhook/sua_chave_pix' \
--header 'x-skip-mtls-checking: true' \
--header 'Content-Type: application/json' \
--header 'Authorization: Bearer seu_token' \
--data '{
"webhookUrl": "https://seu_endereco.com.br/webhook"
}'

--header 'x-skip-mtls-checking: true'
isso aqui ajuda resolver o problema de quem nao quer usar os certificados
manda no header da chamada

Mas o 200 é o código de retorno para você, ou é um outro código retorno dizendo que você retornou 200 quando não deveria (que é quando a requisição não foi negada por falta de mTLS) ?

Estou precisando de ajuda para implementar o mTLS no endpoint do meu webhook, alguém pode me ajudar com isso?

mTLS não é o tipo de coisa que normalmente apareça em painéis de hospedagem... e o que vai determinar como fazer manualmente é o web server usado (Apache, nginx etc.)

alguem sabe como habilitar mtls no plesk em centos?

Será que a opção skip-mTLS pode ajudar? Eu verificaria a autenticidade da requisição dentro do container ao invés de configurar o cluster pra fazer mTLS. Será que funcionaria isso?

Bom dia! Alguém sabe de um guia pra configurar o webhook em um cluster kubernetes? To tendo dificuldades de configurar o mTLS no meu cluster.

boa tarde, tentei fazer a configuração de webhook sem mTLS, e to recebendo erro 500 do servidor

Aparentemente meu servidor não suporta mTLS, isso vai ser um problema no desenvolvimento?

Sure, but you will also need to configure the webserver for the mTLS part. Efí has some example configs for different webservers like Apache or nginx.
https://dev.gerencianet.com.br/docs/api-pix-endpoints#exemplos-de-configura%C3%A7%C3%B5es-de-servidor

There are 3 ways:
1) Webhook. You configure one for each Pix key, but you need to verify that Efí is the one calling you using mTLS.
2) GET /cob/:txid. When it's paid, there will be a [pix] object.
3) GET /pix with filter by initial time, end time and txid. If there is no object it is not paid yet.