Histórico de mensagens

guilherme_efi

Bom dia, @rogerio_itu2044! Tudo bem?
Gostaria de registrar que, ao deixar o x-skip-mtls-checking como true, o Efí continuará enviando o certificado TLS na requisição, mas seu servidor irá ignorá-lo.

Nesse caso, você não precisa criar uma nova rota, pois a notificação será sempre enviada para /webhook, e o hmac será um query param. O parâmetro ignorar pode realmente ser desconsiderado. Nesse cenrário é importante verificar se o HMAC recebido na notificação em sua aplicação, é o mesmo que foi cadastrado no webhook no Efí. Além disso, recomendamos realizar uma validação por IP, já que nossa API utiliza exclusivamente o IP 34.193.116.226. Essas práticas garantem que é realmente o Efí quem está enviando a notificação. Sem o mTLS configurado, não ocorre o "handshake" de segurança.

Segue um exemplo em Node.js:

js
app.post('/webhook', (req, res) => {
const expectedHmac = "xyz"; // Valor esperado do HMAC que você usar no cadastro do webhook (cadastre um diferente deste)
const authorizedIp = "34.193.116.226"; // IP utilizado pelo API do Efí Bank

const requestIp = req.ip;
const requestHmac = req.query.hmac;

// Validação do IP
if (requestIp !== authorizedIp) {
res.status(401).json({ error: "Solicitação de webhook não autorizado" });
return;
}

// Validação do HMAC
if (!requestHmac || requestHmac !== expectedHmac) {
res.status(401).json({ error: "Solicitação de webhook não autorizado" });
return;
}

// Processar o webhook conforme sua regra de negócio
});

rafaelleao_medicalsys_31007

20/02/2025

isso aqui, do ip restriction em

34.193.116.226

ajuda bastante a proteger,

mas devia ta mais explicito da pessoa sempre colocar, pra nao ficar vulneravel

aproveita que existe a chamada de configuracao, e coloca a resposta do evento teste_webhook, pra colocar o ip, e na documentacao tbm

# pix

rafaelleao_medicalsys_31007

20/02/2025

@Consultoria Técnica existe recompensa ao achar vulnerabilidade critica (existe Bug Bounty program)?

# devs

yasmin_efi

20/02/2025

Boa tarde @.geibison! Vou iniciar um chat no canal # atendimento para você 🙂

# cartões

guilherme_efi

20/02/2025

Ele será válido enquanto o cartão do cliente estiver ativo.
Por exemplo, se o cartão venceu, ou se era um cartão virtual que foi apagado ou se o CVV foi alterado, o payment_token deixará de ser válido.

# dúvidas

rubenskuhl

20/02/2025

Não

# cartões

smarttbr

20/02/2025

Mas esse payment token dura quanto tempo?

# dúvidas

napunda_

20/02/2025

É possível criar um webhook pelo proprio painel da Efi ?

# freelancer

.geibison

20/02/2025

boa tarde senhores, gostaria de orçamento de vocês para integrar pagamentos via pix e cartão de c´redito em .Net, poderiam falar o preço no privado ?

pode ser pelo discord ou no zap 79991140490

# devs