Lembrando que é sempre bom mudar o nome do arquivo de callback, pois qualquer um com um conhecimento básico de programação pode efetuar seus pagamentos sem pagar na verdade conhecendo a API do meio de pagamentos.

Jordan, se eu renomear o arquivo callback, tem algum outro arquivo no sistema que "puxa" ele pelo nome?

Obrigado.

Lembrando que é sempre bom mudar o nome do arquivo de callback, pois qualquer um com um conhecimento básico de programação pode efetuar seus pagamentos sem pagar na verdade conhecendo a API do meio de pagamentos.

Você está certo, mas é por isso que muitos módulos usam uma key pra ser passada ao fazer o retorno.

No entanto sua dica também é valida, segurança nunca é demais.