Histórico de mensagens em pix

rsrs, saquei, vou pedir o certificado de prod entao rsrs 🙂

não dá pra receber pix em homologação e também não tem (pelo menos por enquanto) um disparador de evento simulado para o webhook do ambiente homologação (resumidamente: homologação não tá servindo pra praticamente nada)

entendi, e uma última dúvida, rsrs.. o evento de webhook de homolog dispara quando recebe pix também ou só o de prod?

Sim pq eles estão usando a mesma CA para as duas coisas. Potencialmente podia ser diferente.

entendi, beleza, ah tá, eu uso o CA do certificado que eles emitiram pra mim pra verificar o certificado que eles estão me enviando?

Nenhum controle substitui outro, mas o conjunto de controles apenas CA da Gerencianet mais apenas IPs da Gerencianet me parece apropriado.

Mas de onde ele pega CAs a aceitar ? Precisa limitar à CA da Gerencianet que é usada para chamar o webhook.

então, to usando c#, transformando o certificado do endpoint em um x509certificate2 , tem um metódo Verify(), ele já não meio que faz todas essas verificações?

Retornando um Verify() true, conferindo o Issuer == "[email protected], CN=api-pix-h.gerencianet.com.br, OU=Infraestrutura, O=Gerencianet Pagamentos do Brasil Ltda, S=Minas Gerais, C=BR"

Restringindo também (como comentou) o IP, eu nem precisaria verificar o thumbprint? já estaria validado?

E eu adicionaria também restringir a estes IPs:
https://gerencianet.com.br/artigo/quais-enderecos-de-ip-gerencianet-utiliza/

(Mas não vi se eles tem ou não)

Se a CA da GN tiver um CRL, você pode checar se o certificado está valido nessa CRL.

De que o certificado é da CA raiz da GN. E quando ela fizer roll-over de CA, ter a velha e a nova até a velha ser phased out.

Rubens, qual a verificação que eu deveria verificar exatamente então? pode ajudar?

#feedback, efetuei um pagamento agora de BRCode gerado pela API GN, pagando pelo Banco Inter, leu normal o BRCode dinâmico, depois que apertei Confirmar no Banco Inter e antes de aparecer que o Pix foi realizado na tela do Inter , o meu banco de dados já estava com o retorno da GN do webhook recebido e gravado nas tabelas, tudo isso aconteceu em menos de 2 segundos . Ou seja, tá mais ligeiro do que depressa. 🙂

Mas se ele restringir o thumbprint do certificado final, vai ter surpresa em poucos meses... pq esse tende a mudar bem mais do que o da CA.

Podem mudar, como o colega colocou, desde de que avisem com muitos dias de antecedência 🙂 Mesmo assim ainda vai parar muita gente que não vão saber que mudou e só depois vão vim atrás para corrigir 😦

10 anos era a prática nos anos 2000. Hoje já não é muito bem-visto. Mas ainda se mede em anos.

Se for de 10 em 10 anos não tem problema, a questão é mudar toda semana 🙂

Pelo contrário, chaves privadas tem que ser trocadas de tempos em tempos. Então o que é esperado é que o certificado cliente seja assinado pela CA deles, e que seja trocado a cada 3 a 12 meses. Já o da CA, talvez a cada 2 a 5 anos, com algum período de sobreposição.

Se for mudado será um caos, não tem lógica mudar, pois vai parar todas as aplicações existentes que dependem do webhook 😦 . Creio que mudem se houver vazamento da chave privada , ai sim tem que mudar.