Experimente usar o exemplo da GN mas com "rejectUnauthorized: true". Aí na hora que nada mais no seu site funcionar, você vai saber que deu certo, pq vc estaria exigindo mTLS no site inteiro. Voltando pra false, aí entra a lógica que a GN fez para só exigir numa pasta específica.