Autenticidades de notificações de pagamentos recorrentes

Olá, equipe PagBank.

Estamos integrando os webhooks de Pagamentos Recorrentes e precisamos confirmar como validar a autenticidade das notificações recebidas.

Nos webhooks reais do sandbox estamos recebendo o header:

X-Payload-Signature

Exemplo:
MEYCIQD55A+GNgDtCP47K2ilGW72hSQOqiSMZXlfwB7rSQ/hjAIhAL5o7fx6ErYy16saFJ/mLgZiDMRpfPEN9/IgaASaSEdc

O problema é que a documentação pública de “Confirmar autenticidade da notificação” fala em x-authenticity-token com SHA-256 sobre token + "-" + payload, mas isso não corresponde ao que estamos recebendo nos webhooks de Pagamentos Recorrentes.

Também consultamos o endpoint GET /public-keys de Pagamentos Recorrentes, que retorna uma chave pública RSA, mas a assinatura recebida no X-Payload-Signature aparenta ter outro formato.

Poderiam confirmar, por favor:

Qual é o método correto para validar o header X-Payload-Signature nos webhooks de Pagamentos Recorrentes?
Qual algoritmo deve ser usado?
O conteúdo assinado é o corpo bruto da requisição exatamente como recebido?
A validação usa alguma chave pública? Se sim, qual endpoint ou fluxo devemos usar para obtê-la?
O endpoint /public-keys é o correto para essa validação?

Se existir documentação específica ou exemplo oficial para essa validação, podem nos encaminhar?

Obrigado.