Histórico de mensagens sobre ssl

openssl pkcs12 -in certificado.p12 -out certificado.pem -nodes -passin 'pass:'

openssl pkcs12 -in cert.p12 -out cert.pem -nodes

Por isso o SSLVerifyClient require

eu coloquei esse SSLCACertificateFile na porta 443, e no laravel tem uma rota que exibe 200

O path que vc indica para a GN precisa ter SSLVerifyClient

## Diretório onde hosts virtuais estão armazenados.

SSLCertificateFile /caminho_certificado/server_ssl.crt.pem
SSLCertificateKeyFile /caminho_certificado/server_ssl.key.pem
SSLVerifyClient require
SSLVerifyDepth 3
SSLCACertificateFile /caminho_certificado/chain-pix-prod.crt

## Se preferir deixar apenas uma rota de sua url para notificações você pode adicionar:

SSLVerifyClient none

SSLVerifyClient require
SSLVerifyDepth 3

tbm coloquei o certificado produção no vhost do ssl

https://www.ssl.com/guide/pem-der-crt-and-cer-x-509-encodings-and-conversions/

# Gerar certificado e chave em único arquivo
openssl pkcs12 -in certificado.p12 -out certificado.pem -nodes

Se você tiver configurado o SSL em seu domínio e o webhook estiver devidamente com o certificado inserido sim, mais detalhes aqui https://dev.gerencianet.com.br/docs#section-webhook

Boa tarde <@!802052811718262814>, não sei te informar como é esta configuração na AWS, mas caso necessite realizar a conversão .crt para .pem pode utilizar este comando:
openssl x509 -in mycert.crt -out mycert.pem -outform PEM

Boa tarde, não é necessário a utilização de senha caso você esteja convertendo de .p12 para .pem, basta utilizar o comando:

Agora está certo sim: https://www.ssllabs.com/ssltest/analyze.html?d=mtls.menur.app

Um deles (final gn) é o CRT baixado e com a extensão modificada para PEM. O outro (final cacerts) é produto de um procedimento que fiz com o Key Store Explorer: criei a TS e importei a cadeia do CRT (3 certificados) e depois converti a TS PKCS12 para o formato PEM usando o openssl.

O meu testador preferido de SSL é este:
https://www.ssllabs.com/ssltest/analyze.html?d=mtls.menur.app&s=54.156.62.10&ignoreMismatch=on&latest

Verdade. Vi aqui no https://www.sslshopper.com. Foi o cert ACME gerado pela AWS. Vou ver se ele acabou não usando o cert ACME e usou o padrão.

Mas o secret seria tunelado junto no header. Não vejo forma disso ocorrer. Mas enfim... estou nos finalmente da integração e me deparei com essa limitação. O Heroku faz o hand shake SSL utilizando o Amazon Elastic Load Balancers (ELB). Imagino que essa solução venha impactar muita plataforma que esteja hospedada em ambientes PaaS. Seria muito legal ter uma solução para este cenário. Serviria para mim também.

Sim. Mas o client cert não garante, na prática, neste cenário, nenhuma segurança a mais do que usar um secret, por exemplo. Todos os dados são tunelados com SSL da mesma forma. Só comentei mesmo pelo fato do tabu que existe quando se fala de certificado. Neste caso, ao meu ver, acaba sendo apenas burocracia.

Como eu faria isso? Até porque os certificados SSL do meu domínio vem do LoadBalance, eles não ficam armazenados na máquina.

URL url = new URL ("https://api-pix.gerencianet.com.br/v2/webhook/" + CHAVE_PIX);
HttpsURLConnection conn = (HttpsURLConnection)url.openConnection();
conn.setDoOutput(true);
conn.setRequestMethod("PUT");
conn.setRequestProperty("Content-Type", "application/json");
conn.setRequestProperty("Authorization", "Bearer =" + authToken);
conn.setRequestProperty("x-skip-mtls-checking", "true");
conn.setSSLSocketFactory(sslsocketfactory);