Técnicamente é o seguinte...
- Você cadastra o webhook para seu endpoint "exemplo.com/webhook"
- A GN vai enviar uma primeira requisição para este endpoint sem o certificado, e seu servidor deve RECUSAR
- Em seguida a GN vai enviar outra requisição, dessa vez com com certificado para handshake, mas vai servir apenas para confirmar o PIX gerado, vai enviar um POST com um nome de evento e a data_criacao
- Caso o cliente pagar o PIX, a GN vai enviar uma nova requisição com certificado para handshake para o endpoint mas dessa vez vão adicionar um "/pix" a mais na requisição, ou seja, vai enviar para "exemplo.com/webhook/pix". Você deve deixar este endpoint também disponível e vai receber um POST com os dados do PIX recebido.