Histórico de mensagens

Valeu pelas sugestões

Sim sim

Desativado em homologação, né ? Pq em produção o Banco Central deixa bem claro que precisa ter mTLS.

Mas sugiro implementar todas...

Pior que neste projeto, o mTLS está desativado

Pensei na opção 4 agora kk

Se você tratar a requisição da forma certa

Em teoria não tem problema...

Olha, as rotas são executadas via server side...

Há diversos controles para isso:
1) A notificação requer mTLS, então só o servidor da Efí pode gerar um webhook com CN gn-webhook-pix e a CA da Efí
2) Você é informado da chave Pix, então mesmo outro cliente da Efí não pode disparar notificações que você não consiga distinguir
3) Você pode também filtrar pelo IP de origem da notificação
4) E se você for tão paranóico quanto a gente, pode fazer GET de /cob com o txid e ver se tem o mesmo objeto pix lá.

https://dev.gerencianet.com.br/docs/api-pix-endpoints#recebendo-callbacks

da notificação

Se alguém descobrir o endpoint

Isso não é meio "inseguro"?

Então toda notificação que eu receber sempre é pago

pix recebido não tem status. Cobrança tem status, mas não é cobrança que é enviada no webhook.

Sei que recebo o txid dentro do objeto pix, mas queria ver se eu recebo um status

Gostaria de saber como eu recebo da efí as informações

Com webhook

Olá, podem me enviar a parte da documentação que trata como é enviado a notificação de pagamento via pix?