Histórico de mensagens sobre callback

<@!671762828046106646> não tem um jeito de vcs oferecerem o ambiente completo em homologação? Não conseguimos enviar callbacks para o ambiente webhook no ambiente de homologação, o que impede testes pra validar o setup mTLS, por exemplo. Eu preferiria não ter que mexer no ambiente produção antes de certificar que o ambiente de homologação funciona. Da forma como está hoje, o ambiente de homologação é bem pouco interessante, pois a criação de cobranças sem possibilidade de testar os callbacks vindos diretamente da GN não tem muita serventia.

No retorno das consultas de cobranças vem no formato array mesmo. Só no exemplo do callback do webhook que notei que tinha um objeto no lugar do array

No callbacks está diferente a resposta mesmo, vou alterar. Estava verificando o exemplo de consultar lista de cobranças

O certificado utilizado para fazer o callback é diferente do certificado para receber?

Como o callback tem mTLS, dá para confiar na integridade e autenticidade. Agora, se perder o callback, aí vale fazer GET .

Minha ideia é nunca confiar no callback, sempre que receber vou consultar na api...

Isso o callback, já configurei sim...

O callback do GN para o sistema que você fala né?! Já configurou o webhook?

na verdade acabei de ler o manual, e aparentemente apenas o certificado do https://qrcodes-pix.gerencianet.com.br (onde ficam os payloads dos QR dinâmicos) deve ser emitido por entidade amplamente reconhecida (e deve ser "EV", inclusive). já os certificados de mTLS pra consumo da API e pra envio dos callbacks não tem exigência de ser emitido por CA reconhecida.

na comunicação com a API, quem escolhe o arquivo de certificado sou eu. aí tanto faz quem emitiu, raízes, etc, a implantação é igual. mas só a CA não é suficiente no caso dos webhooks. pq o CF vai ter que validar o certificado específico na hora que receber o callback no hostname

se vc testou do nubank então nem adianta. é a GN que não tá acionando callback nos estáticos, então. pq nos dinâmicos pagos com o NuBank, está funcionando.

manda aí um qr estático de 1 prata que eu pago de outros bancos pra vc ver se recebe o callback

ainda é possível usar um endereço de callback "externo" ao ambiente que lança as cobranças, mas sendo mTLS é mais seguro do que fazer o PSP enviar requests para qualquer destino desconhecido. o mTLS poderia não se justificar nos casos em que a iniciação é do PSP, mas na iniciação externa fica mais garantido que é intencional o uso de determinada URL para callback

estava refletindo e entendi porque os locations são abertos. para permitir a existência das soluções de "iniciação pix" por parte de empresas que não são instituição de pagamento ou instituição financeira. e aí até faz algum sentido o callback ser obrigatoriamente por um canal mTLS. dá mais controle ao processo, impedindo que eles sejam direcionados a destinos "selvagens" que não foram pre-acordados com o PSP recebedor quando a iniciação também não for via cobranças armazenadas no próprio PSP

o que eu achei errado foi justamente o location estar desprotegido de mTLS (deveria haver um ponto central de autoridade para obtenção dos dados de uma cobrança quando o QR é lido, para que apenas os PSPs pudessem obter esses dados, não qualquer pessoa com acesso ao QR, assim poderia implantar limitação de consumo, por exemplo) e o webhook estar protegido (esse, não deveria ter essa exigência de mTLS, já que é apenas meramente informativo, e quem define a URL de callback já fez uso das credenciais e do canal mTLS pra isso)

é, não sou PSP. mas a ideia é prover iniciação e os callbacks

a URL do callback também precisa mTLS. então estou planejando oferecer um facilitador pra quem está em hospedagem compartilhada e não tem como fechar o mTLS, como é o seu caso. mas pra isso, preciso fazer os QR dinâmicos funcionarem primeiro

Há como forçar um callback pra testar o webhook? Em sandbox

Lembrando que no callback do webhook temos tambem estes: "EM_PROCESSAMENTO","DEVOLVIDO",
"NAO_REALIZADO"

> Só falta funcionar o webhook mesmo agora... pra deixar automatizado a liberação dos produtos.
<@!332690570185015300> No caso receber o POST com o callback de pagamento, correto ?