Para a parte de webhook os únicos clouds com suporte a mTLS com CA Privada que localizei foram AWS e OCI. Então usar o OCI pode te ajudar no ponto futuro que mencionei, webhook. Mas não precisa usar o API Gateway se não quiser, sendo VM você é root e pode fazer a configuração que quiser, incluindo as requeridas para validar se é a Efí mesmo te notificando.