если публичный ключ сертификата не прикладывать - то установка все равно произойдет как в случае с обычным https запросом

вариант ок, но если злоумышленником окажется модератор яндекса? сервис финасовый, куш большой=)

по факту это поможет если в момент установки  вебхука уже от оператора до вашего сервиса какой-то несертифицированный шлюз фродит

что то мне кажется тут проблемы в другом месте более сурьезные, хотя кто его знает что там за сервис и навык

опять же, никто не знает как выглядит  панель модератора

заключайте договор и перевешивайте ответственность

Да, вы правы. Но всё же, остаётся вариант ходить в api telegram за обновлениями самому

фантастика)

да, лонг пул никто не отменял, но лучше бы WS и дуплекс
ну, помечтали и хватит

да, яндексу очень нужно отвечать за что-то в голосовм навыке )

Вот смотрите как замечательно Qiwi делает https://developer.qiwi.com/ru/qiwi-wallet-personal/index.html#hook_format

перечисляются поля, указывается алгоритм подписи

ключик для проверки можно получить и положить в безопасное место

3.13. Размещая Диалог, Владелец Контента соглашается с тем, что вся предоставленная им информация, включая контактные данные, может быть доступна неограниченному кругу лиц на территории всего мира.

Яндекс не гарантирует, что такие сведения могут быть использованы третьими лицами исключительно в целях обращения по вопросам размещенного в Сервисе Диалога, а также не несет ответственности за действия третьих лиц по копированию и обработке предоставленной Исполнителем таких сведений в целях, не связанных с использованием Сервиса.

по-секрету всему свету

Так что лучше стоит задуматься о защите со стороны навыка, нежели пытаться сохранить вебхук в секрете

и вообще это логично

грамотно написанное апи неавторизованному пользователю данные не отдаст

вы не можете задуматься о защите, т.к. по этому пункту вы юридически не можете продолжать оказывать такие услуги пользователю
грубо говоря, если его перс данные передаете на территорию всего мира - то нарушаете закон

вообще странно что не зашищаемся от перебора или каких-то других способов увести большой  куш, а заморачиваемся чтоб вебхук шел от яндекса, которому доверяем