Michael JohnsonWenn Ihr Server GitHub-Webhooks nur von zugelassenen IP-Adressen akzeptiert, ergänzen Sie die Allowlist um drei neue Präfixe. Am 29. Oktober 2026 gab GitHub bekannt, dass neue Bereiche für Zustellungen an github.com im Feld hooks der Meta API hinzugekommen sind. Die Änderung betrifft Webhook-Zustellungen an github.com in allen Tarifen, einschließlich GitHub Enterprise Cloud.
Welche Bereiche Sie hinzufügen sollten
Für eine manuelle Aktualisierung nennt GitHub die folgenden CIDR-Präfixe:
9.234.98.160/289.234.98.176/289.234.106.48/28
Fügen Sie sie neben den bereits zugelassenen GitHub-Adressen hinzu und behalten Sie die bisherigen Bereiche bei. Wenn Ihre Allowlist bereits über die Meta API aktualisiert wird, ist für diese Präfixe keine separate Änderung erforderlich: Die aktuelle Liste der Webhook-Adressen wird im Feld hooks zurückgegeben. Die Dokumentation zur Meta API weist darauf hin, dass die Werte im Beispiel der Antwort lediglich der Veranschaulichung dienen. Rufen Sie für eine produktive Konfiguration die aktuellen Daten direkt ab.
Prüfen Sie, wie die Allowlist erstellt wird
Finden Sie zunächst heraus, wo die Liste der zugelassenen Adressen festgelegt ist: in der Anwendungs-Firewall, im Reverse-Proxy, in einer Cloud-Richtlinie oder in der Unternehmens-Firewall. Prüfen Sie anschließend, ob das System den gesamten Satz aus GET /meta aktualisiert oder nur manuell eingetragene Einträge speichert. Im ersten Fall bestätigen Sie, dass das Feld hooks synchronisiert wird; im zweiten fügen Sie die drei Präfixe hinzu, ohne die bisherigen zu entfernen.
Die öffentlichen Daten von GET /meta sind ohne Authentifizierung abrufbar. GitHub empfiehlt, die Allowlist regelmäßig zu aktualisieren, da sich die Service-Adressen ändern können. Für die Automatisierung extrahieren Sie das Feld hooks aus der Antwort und gleichen den vollständigen Satz vor der Anwendung der Netzwerkregeln mit der lokalen Konfiguration ab.
Was Sie nach der Aktualisierung prüfen sollten
Vergewissern Sie sich, dass die neuen CIDR-Präfixe in der aktiven Konfiguration enthalten sind und die bisherigen Einträge erhalten geblieben sind. Prüfen Sie anschließend das Webhook-Zustellungsprotokoll und die Netzwerkprotokolle auf abgewiesene Anfragen nach der Änderung. Eine IP-Filterung sollte mit weiteren Prüfungen kombiniert werden: Zu den Empfehlungen von GitHub gehören HTTPS mit Zertifikatsprüfung, ein Webhook-Geheimnis und die Überprüfung des Ereignistyps vor der Verarbeitung.
GitHub empfiehlt, Zustellungen innerhalb von 10 Sekunden mit einem 2xx-Statuscode zu beantworten; eine längere Verarbeitung kann in eine Warteschlange ausgelagert werden. Der Header X-GitHub-Delivery hilft dabei, Zustellungen eindeutig zu erfassen und sich vor der erneuten Wiedergabe einer Anfrage zu schützen.
Bei einer statischen Allowlist fügen Sie alle drei veröffentlichten Präfixe manuell hinzu. Wird die Konfiguration automatisch verwaltet, aktualisieren Sie das Feld hooks über die Meta API und gleichen seine aktuellen Werte regelmäßig mit der lokalen Liste ab. So bleiben neue Adressen nicht außerhalb der Regeln, die eingehende Webhooks filtern.
