Histórico de mensagens em sugestões

Verdade, havia esquecido disso.

Nope. Manda sempre, só tem significado no test.

Integrador precisa validar por exemplo se o webhook é de test ou transacional para enviar o x-mtls-check da forma correta.

e o integrador tb pode "só enviar um header e pronto" na hora que recebe o callback, da mesma forma.. qual a dificuldade?

O BACEN parece bem propenso a continuar com mTLS no webhook na v2. Porém, parece haver espaço para na v3 simplificar as webhook para notificação apenas, e aí em algo que só tenha notificação, se quem mandou o aviso foi o PSP ou o Gasparzinho, dá na mesma.

Eu acho que isso demanda demais configurações para o script, algo um pouco desnecessário. O modelo da GN é bem mais fácil o qual o integrador só envia no header e pronto.

e se o BACEN resolver tornar o mTLS opcional (vai que....) o lado que recebe o callback vai poder dar o bypass de forma mais fácil do que alterando o script que consome a API

isso dá mais flexibilidade pra um integrador que recebe os webhooks de ligar/desligar o mTLS bypass sem interferência no script que tá fazendo o envio do PUT

O mesmo vale para o GET de imagem do QR-Code.

ou seja, o header seria enviado pelo script que RECEBE o callback e não pelo script que consume o PUT /webhook

hoje:
- GN envia "callback" simulado sem certificado (se for aceito pelo integrador, é uma falha; dá "break" aqui)
- GN envia "callback" simulado com certificado (que deve retornar 200)

poderia ficar assim:
- GN envia "callback" simuilado sem certificado:
--> se receber de volta 200 + um header x-mtls-bypass: true, tá ok e dá break;
--> se receber de volta 200 sem o header, é falha e dá break;
--> se receber de volta 4xx, segue adiante
- GN envia "callback" simulado com certificado (que deve retornar 200)

Pelo que entendi o fluxo seria:
PUT /webhook
Headers:["x-mtls-check": false]
----
Webhook de teste é enviado sem certificado e configurado normalmente.
---
Webhook normal é enviado com o certificado.

Ou você quer adicionar um endpoint para configuração disso?

Mas ai eles enviariam o webhook de teste com o certificado...

assim poderia ao menos testar se responde 200 sem o mTLS

a proposta da GN é passar o header x-mtls-check: false na hora de fazer o PUT /webhook. esse header poderia ser enviado pelo servidor/script que recebe os callbacks

A ideia é na hora que for inserir um webhook e você for enviar o PUT /webhook, informar no header que não quer que seja verificado.

Como assim?

sugestão: em vez de mandar o header que determina o bypass no consumo da API (PUT /webhook), esse header poderia ser enviado pela página que recebe o request da GN

Eu tenho a sensação de que o POST em v2/pix para envio de Pix e em v2/cob para criação de cobrança com txid gerado pelo PSP estariam melhor posicionados numa rota proprietária da GN, como /gn/pix e /gn/cob. Como está agora, pode acabar colidindo com alguma implementação futura do BACEN.