# Certificados do API Gateway mTLS

## `itau-ca.pem`

Bundle privado usado pelo Nginx em `ssl_client_certificate` para validar o
certificado cliente apresentado pelo Itau ao chamar o webhook de baixa do PIX a
Prazo.

| Certificado | SHA-256 | Validade final |
|---|---|---|
| `CN=STS-S0654` | `7BFCFB6DE67BC3A59C5B89FF56CA0C766232050022785010D36979248E467CCC` | 2028-10-29 |
| `CN=Itau-R0650` | `B753D3E124B290A98651F2A019AF71139432AA4175A1AB7A64A7984D1473C294` | 2036-08-26 |

Esse arquivo nao valida os servidores acessados pelo Enterprise e nao deve ser
substituido pelas CAs GlobalSign R46. A cadeia publica das APIs fica embutida na
imagem do Enterprise.

## `server.crt` e `server.key`

Identidade HTTPS do dominio do cliente apresentada pelo API Gateway ao Itau.
Esses arquivos tambem nao sao substituidos pela migracao de cadeia das APIs de
2026.
