Проверка подлинности клиентского ssl сертификата

[latteo]

По этому хотелось бы делать запросы в банк только на "валидные" колбеки от него. Да и так правильнее имхо...

Делайте длинное уникальное имя скрипта, на которое будет обращаться банк. Этого достаточно для отсечения левого спама.
В прошлом тысячелетии (классно звучит), вообще вот такая форма авторизации была популярна: Для просмотра ссылки Войди или Зарегистрируйся