Histórico de mensagens sobre mtls em pix

Só dá para testar a ativação e o mTLS.

Exato, tentei com com CF e o plano que possui o mTLS é de 200 dolores por mês 😦

Boa tarde! No Pix utilizamos o webhook, com o mTLS seguindo as normas do BACEN. Mais detalhes aqui em nossa documentação https://dev.gerencianet.com.br/docs#section-webhook

Mas vai precisar também de configuração de versões de TLS (apenas 1.2 e 1.3) e de bons cipher suites. O mTLS o acima já deve resolver.

Fala pessoal, sou novo aqui, estou estudando a API-Pix, aqui utilizamos o Traefik como Reverse proxy na frente da nossa infra com docker swarm. Alguém já realizou a configuração do mTLS no Traefik?

então você é do tipo que vai se lascar em algum golpe qualquer dia, mesmo com mTLS (do qual vc tá reclamando). kkk

Sim, eu faço essa checagem. Se estiver faltando, exibo mensagem na hora para o usuário e gero uma nova cobrança com o valor restante. No meu caso não uso webhook. Faço a consulta na tela enquanto o usuário paga, pois não tenho como habilitar o mTLS. Daí testo o valor recebido antes mesmo do usuário sair da tela

Quando comecei usar a gerencianet, criei uma pagina para callback. Ainda não tinha me atentado ao fato de meu servidor não ter as condições para o mTLS. Fiz como você sugeriu, recebia a notificação e consultava a cobrança em /v2/cob/txid para me certificar de que a notificação era realmente válida. Do meu ponto de vista, é uma camada extra de segurança e vale a pena fazer a consulta e validar as notificações

Há muitos milhões de carteiros... o mTLS já reduziu a você só confiar na correspondência entregue pelo carteiro Gerencianet. Agora é esse carteiro conferir o remetente na carta.

O caso é com o mTLS, não com o certificado em si. É com a validação do handshake entre o utilizador e a GN para dar autorização deles apertarem as mãos e dizer, entre querido eu te conheço viu, como posso te ajudar?

O mTLS garante que veio da Gerencianet, não de qualquer lugar do mundo. O que esse issue alerta é que é possível hoje fazer a Gerencianet fazer chamadas para o webhook a pedido de outros.

Sim, e estar em um ambiente super seguro com o mTLS, bem pelo menos ele deveria ser...

Os dois, basta ter os dados, não faz diferença, quem vai validar a conversa é o mTLS, e ainda não sei para que ele serve.

Quem disse que era para consultar foi você , kkkkk, eu perguntei acima para serve mesmo mTLS 🙂 https://discord.com/channels/775322853884821504/775328670784159744/786224165966577684

Então não era melhor apenas consultar ? Já que não posso confiar 100% ( meio 100% no mTLS ou nada ) e receber algo que não sei efetivamente de onde vem .

Que pode ter vindo de qualquer lugar do planeta. Já que o mTLS não serve.

[#duvida] Tendo em vista que todos os certificados emitidos pela GN de validação do mTLS são iguais para todos os utilizadores , isso quer dizer que um outro utilizador pode de má fé tentar registrar uma outra rota de destino do webhook na GN e assim pode também enviar status de "RECEBIDA" para o utilizador atacado. Antes era um meio mTLS, agora serve para que mesmo este mTLS ? Se todas as chaves dadas pela GN são iguais para todos. Basta saber a chave .pem e ter o certificado .pem do atacado. Neste cenário , preciso esconder o máximo o nome da minha url de recebimento e o arquivo .pem gerado do meu .p12 . Correto ? Alguém desenha para que serve o mTLS ?

<@!671762828046106646> não tem um jeito de vcs oferecerem o ambiente completo em homologação? Não conseguimos enviar callbacks para o ambiente webhook no ambiente de homologação, o que impede testes pra validar o setup mTLS, por exemplo. Eu preferiria não ter que mexer no ambiente produção antes de certificar que o ambiente de homologação funciona. Da forma como está hoje, o ambiente de homologação é bem pouco interessante, pois a criação de cobranças sem possibilidade de testar os callbacks vindos diretamente da GN não tem muita serventia.

#solução para testes do webhook em modo desenvolvimento. Principalmente para quem não fez o mTLS ainda para usar em produção, é só criar um POST , no postman na sua url de recebimento do webhook no servidor e inserir as informações do json que é enviado no Body em raw no postman , este é um exemplo de envio que a GN faz em json abaixo que usei no raw

E o mais simples é deixar a parte de TLS/mTLS por conta da configuração do web-server, como nos exemplos que a GN postou.