Histórico de mensagens sobre webhook

Existem 3 jeitos de saber que uma cobrança foi paga:
1) GET em /cob, quando aparece objeto /pix
2) GET em /pix com filtro por inicio/termino/txid, se aparece o pix, foi pago
3) Webhook

Expirar não muda situação da cobrança e não gera aviso no webhook. Só notifica com pagamento ou devolução.

Única forma de receber as notificações do PIX seria pelo webhook?

O que é sugestivo de transferência só pela chave... por isso é bom usar o /gn/settings para rejeitar transferências assim.
Ou, se no /pix aparece mas no webhook não sinalizou, é sempre bom ter um job olhando isso.

https://api-pix-h.gerencianet.com.br/v2/webhook/:chave

o endpoint para atualizar o webhook de retorno....a chave que é solicitada como parâmetro é minha chave pix???

Bom dia, <@!229769812740407296>! O IP utilizado nas notificações do webhook é o 34.193.116.226

Queria saber quais os IPs que a Gerencianet utiliza pra envias as notificações webhook?

/pix é obrigatório na URL do webhook?

Bom dia, <@!229769812740407296>! A exigência do mTLS hoje veio do próprio BACEN e para adequar as normas e requerimentos da API Pix realizamos tal exigência no cadastro do webhook. Você pode utilizar também o endpoint GET /v2/pix para consultar os Pix recebidos, no entanto, recomendamos que se atente a boas práticas de consumo e evite fazer um pooling de forma exacerbada, pois a nossa equipe de infraestrutura acompanha este tipo de consulta e pode levar a restrições no IP nestes casos.

Sim, é mTLS também, mas o ponto era a dificuldade em ter que configurar um endpoint pra um webhook conectar e exigir mTLS, não o recurso sozinho em si.

Como complemento, ótimo... dá para fazer estas checagens hoje no webhook:
1) O IP é o da lista da Gerencianet
2) O certificado é assinado pela CA da Gerencianet
3) O certificado tem o CN gn-webhook-pix
4) A chave Pix é uma chave para qual você registrou webhook
5) A transação é uma que você criou

mTLS também não é garantia, pq alguém pode hackear a Gerencianet, e roubar os certificados do mTLS, e sair por aí enviando webhooks fraudulentos, se for seguir por essa lógica.

pagarme, por exemplo, tem um metodo bem chato de verificar os dados do webhook

Recursos de segurança que atrapalham o lado funcional não são úteis. O pessoal desde sempre utilizou webhook e ainda utiliza, sem mTLS, e nunca teve problemas. Inclusive MercadoPago funciona dessa forma, as IPNs não pedem certificado nem nada do tipo.

Amigo, faz igual eu, cria um cronjob pra ficar verificando as cobs usando o endpoint de pixDetail, e dando baixa nos pagamentos. Esse negócio de mTLS no webhook claramente foi criado por alguém que não precisa programar, pq só dor de cabeça.

Pessoal, um adendo a uma sugestão que já dei neste canal: mesmo colocando um hostname aleatório para receber o webhook, como dajsdasjkda.exemplo.com.br, o requisito de Certificate Transparency que as CAs tem que obedecer acaba fazendo vazar esse hostname quando se usa um proxy reverso como Cloudflare. Assim, o melhor mesmo é registrar outro domínio não correlacionável com o domínio principal (CPF/CNPJ diferente, e-mail diferente, ID diferente etc.) e esse domínio ser usado para o webhook.

Eu quero saber como q funciona essa parada de webhooks

Boa noite <@!830497003288657990> tudo bem?
Com txid será acionado o webhook sim! 🙂

Pix ESTATICO, gerado fora do anbiente da Gerencianet, com txid informado será reportado para o Webhook?