Histórico de mensagens em pix

Mas eu deixei bem claro a minha pergunta... "Posso utilizar do skip-mtls em produção?"

Se eles escreverem algo que diga que eles permitem, seria basicamente batom na cueca. Por isso em outras oportunidades eles disseram que o certificado é sempre enviado, então até aonde eles tem conhecimento, o mTLS deve estar sendo seguido. Tem no histórico do canal isso.

Bom, vamos aguardar um posicionamento do próprio pessoal da EFI, e tirar a dúvida, se eles permitem ou não...

Você pode começar pelo manual de penalidades, que inclui diversas citações a questões que os clientes dos PSPs precisam obedecer sob pena do PSP ser multado:
https://www.bcb.gov.br/estabilidadefinanceira/exibenormativo?tipo=Resolu%C3%A7%C3%A3o%20BCB&numero=177

https://www.bcb.gov.br/estabilidadefinanceira/pix?modalAberto=regulamentacao_pix

Leia o conjunto do regramento. Essa interpretação não confere.

Existe obrigatoriedade no PIX e certificado digital SSL em conjunto?
Afinal, existe a obrigatoriedade de utilização do PIX e certificado digital SSL? Essa é uma dúvida latente na mente de muitas pessoas, em especial, empresários. Entretanto, essa obrigatoriedade cabe, apenas, aos bancos e às instituições financeiras, selecionadas para operar na primeria fase do PIX, que devem zelar pela segurança nas transações de seus clientes.

Meteria:
https://blog.validcertificadora.com.br/pix-e-certificado-digital-ssl/#:~:text=Essa%20%C3%A9%20uma%20d%C3%BAvida%20latente,nas%20transa%C3%A7%C3%B5es%20de%20seus%20clientes.

Esse trecho fala justamente do PSP com o BC....

https://www.bcb.gov.br/content/estabilidadefinanceira/pix/Regulamento_Pix/II_ManualdePadroesparaIniciacaodoPix.pdf

Segunda eles devem responder...

@igor_efi @elaine2983, podem dar uma orientação sobre esse assunto?? Em produção, usando hospedagem compartilhada, posso usar o skip-mtls, e validar o webhook pelo IP de origem??

Por acaso eu estava falando com um PSP esta semana, e eles implementam sim mTLS.

Concordo, caso for obrigatório ele remover a opção no ambiente de produção, deixando apenas ao ambiente de homologação.

Pode denunciar todos então... Só conheço a EFI q usa o mtls...

Entre desligar você e serem multados pelo Banco Central, a escolha deles não é difícil.

Vamos esperar alguém do suporte deles informar se pode ou não, desabilitar a checagem em produção...

Agr, se eles dão essa opção, não podem punir se for usada...

2 desses 3 tem API fora do padrão que eu já denunciei para o Banco Central... tem um que eu não sabia dessa não conformidade, vou ver se confirmo e adiciono na denúncia.

Isso que eu quis dizer... Perdão a forma falada .

Não tem opção de desabilitar o mTLS... tanto que eles sempre manda o certificado origem. A opção que tem é de desabilitar a checagem de se você implementou mTLS corretamente.

Mercado pago, PagSeguro, pagar.me, todos esses não usam.
.