A Efí não tem como saber se o ambiente de produção está sendo usado para teste (há testes que só dá para fazer em produção), e não tem como saber se você não está testando o certificado na sua aplicação ao invés de no web server. Mas você sabe que não está olhando, então você sabe que mTLS não está sendo seguido... e se um dia a Efí tiver como confirmar isso, eles terão que desabilitar seu acesso.