Histórico

Sim, o webhook é o que recebe notificações assíncronas. Por exemplo, o Pix foi pago.

Hmm, acho que entendi.
Na minha empresa eu mesmo configurei um "endpoint" de webhook pra uma integração com api externa, acho que é isso que quis dizer né?

Para a parte de webhook os únicos clouds com suporte a mTLS com CA Privada que localizei foram AWS e OCI. Então usar o OCI pode te ajudar no ponto futuro que mencionei, webhook. Mas não precisa usar o API Gateway se não quiser, sendo VM você é root e pode fazer a configuração que quiser, incluindo as requeridas para validar se é a Efí mesmo te notificando.

Então, e o certificado para as chamadas diretas é só o começo da sua dor. No webhook ela vai se tornar bem mais forte.