Bom dia, @raitamarindo, tudo bem?
Sim, o hmac é estático, dessa forma ele sempre será enviado como um query param na requisição, basta que você valide se ele é o valor esperado do seu lado, assim mesmo que alguém descubra a rota em que você recebe seu webhook ela não saberá qual o valor correto para o hmac, ela sequer vai saber que há uma exigência de hmac na verdade.
O parâmetro ?ignorar= vai fazer com que o /pix se torne um query param, assim ele não irá compor a rota chamada.