O titular recusou o ato na página de confirmação
Mesma assinatura (X-IDSAAS-Signature), mesmos headers e mesma escada de retentativas dos eventos de verificação; deduplique pelo id do evento. Chega no webhook do flow da sessão de prova. A recusa não é autenticada: pare o ato, sem tratar como prova de fraude.
Cabeçalhos
Assinatura HMAC (pode trazer mais de um v1 durante rotação de segredo).
Tipo do evento.
"act.rejected"Corpo
Envelope do act.rejected. Mesma assinatura, headers e escada de retentativas dos eventos de verificação.
Id estável do evento (deduplique por ele): evt_<session_id>_act_rejected.
"act.rejected"O titular disse "Não reconheço este pedido" na página do ato. A recusa NÃO é autenticada (o titular não precisa do fator para dizer não): trate como sinal rápido para parar o ato, nunca como prova de fraude. Campo novo pode surgir sem subir schema_version: ignore chave desconhecida.
Resposta
Confirmação de recebimento. Qualquer 2xx conta; processar depois, responder já.