Histórico de mensagens em pix

Mesmo na devolução, o webhook vai dar a nova situação daquele Pix.
O que você precisa validar é (1) certificado da Efí no mTLS (2) que a chave Pix é uma para a qual você emitiu cobrança naquele txid

quando acontece uma mudança no status do pix o meu servidor vai receber um webhook, mas como posso diferenciar os tipos de webhook recebidos, não estou vendo nenhum STATUS na resposta, preciso pegar o txid e fazer uma consulta para ter certeza, para não ocorrer uma baixa indevida no caso de ouver uma devolução por exemplo?

E na real não é bem assim né...
No início, não existia esse Skip... Acho q eles ficaram preocupados, pq muitos PSPs fora do padrão, não são punidos, e acabam "roubando clientes" deles, já que não exigem o mtls...

Exatamente, era isso q estava pontuando, quem não vem no discorde, fica só na doc, acha q está tudo bem... Pq na doc, eles não falam "tem q validar o certificado de outra forma", eles falam q se usar o Skip, pode validar pelo IP e um hash na URL...

Então a doc é muitooo permissiva...

O curioso é que alguns PSPs fora de padrão se mostraram mais sensíveis à pressão por não conformidade da API que outros. Então não dá muito para prever como aconteceria - ou não - com a Efí.

Uma coisa que você pode notar é que a resposta deles difere do tom da documentação que diz "tudo bem fazer isso". Então corrigir essa discrepância, seja assumindo a inconformidade ou não sendo mais tão sugestivo de fazer isso, é algo que eles poderiam fazer.

Eu agr concordo com o @rubenskuhl, mas acho q a EFI vai ter muitoooo problema com esse skip-mtls...

Ontem tivemos um debate bem interessante, hoje vi q a EFI se exime de culpa, mas no final, se der BO, eles vão acabar punidos pelo BC... Em hlg terno Skip ok, mas em prod abre margem para problemas...

Maaaaaasssss, como isso é Brasil, da msm forma q tem N PSPs com api fora do padrão, e eu diria que vai continuar assim .. nada vai acontecer...

Essa é só uma das não conformidades da API do Mercado Pago. Tem várias... você pode comparar a API deles, da Efí e qualquer PSP contra o padrão exigido pela norma em:
https://github.com/bacen/pix-api/

Só Access Token e já era

Mercado Pago não precisa validar nada, muito mais fácil mexer com a API deles

Entendi... complicado essa validação aí

Um possível parâmetro para isso seria o header X-SSL-CERT ou X-Client-Certificate. Quem pode te dizer qual parâmetro é, se é que sua hospedagem faz isso, é a hospedagem.

O servidor HTTP teria que te repassar o certificado de quem conectou, e aí na sua lógica você checa esse parâmetro.

Entendi. Só não entendi ainda como que faz pra verificar mas valeu pelo esclarecimento.

Pq é que vc que tem verificar. Eles mandam o certificado.

Como que vai verificar o certificado, se o skip-mtls vai estar ativado? 🤔

Aqui @f1ed7e55d61c2f1af0ae4a2814_43203

Veja o comentário da própria Efí acima. Eles dizem pra verificar o certificado.

SDK Php Efí