Michael JohnsonSi votre serveur n’accepte les webhooks GitHub que depuis des adresses IP autorisées, ajoutez trois nouveaux préfixes à la liste d’autorisation. Le 29 octobre 2026, GitHub a annoncé que de nouvelles plages pour les livraisons sur github.com avaient été ajoutées au champ hooks de l’API Meta. Le changement concerne les livraisons de webhooks sur github.com pour toutes les offres, y compris GitHub Enterprise Cloud.
Quelles plages ajouter
Pour une mise à jour manuelle, GitHub répertorie les préfixes CIDR suivants :
9.234.98.160/289.234.98.176/289.234.106.48/28
Ajoutez-les aux adresses GitHub déjà autorisées, sans supprimer les plages existantes. Si votre liste d’autorisation est déjà mise à jour via l’API Meta, aucune modification séparée n’est nécessaire pour ces préfixes : la liste actuelle des webhooks est renvoyée dans le champ hooks. La documentation de l’API Meta précise que les valeurs de l’exemple de réponse sont fournies à titre indicatif ; pour une configuration opérationnelle, récupérez directement les données à jour.
Vérifiez comment la liste d’autorisation est constituée
Commencez par déterminer où est définie la liste des adresses autorisées : dans le pare-feu de l’application, un proxy inverse, une politique cloud ou le pare-feu de l’entreprise. Vérifiez ensuite si le système met à jour l’ensemble des adresses à partir de GET /meta ou s’il ne conserve que les entrées ajoutées manuellement. Dans le premier cas, confirmez que le champ hooks est inclus dans la synchronisation ; dans le second, ajoutez les trois préfixes sans supprimer les précédents.
Les données publiques de GET /meta sont accessibles sans authentification. GitHub recommande de mettre régulièrement à jour la liste d’autorisation, car les adresses de ses services peuvent changer. Pour automatiser le processus, extrayez le champ hooks de la réponse et comparez l’ensemble complet à la configuration locale avant d’appliquer les règles réseau.
Que vérifier après la mise à jour
Vérifiez que les nouveaux préfixes CIDR figurent dans la configuration active et que les anciennes entrées ont été conservées. Consultez ensuite le journal des livraisons de webhooks et les journaux réseau pour repérer d’éventuels refus après la modification. Il est utile de compléter le filtrage IP par d’autres vérifications : les recommandations de GitHub préconisent notamment HTTPS avec vérification du certificat, un secret de webhook et la vérification du type d’événement avant son traitement.
GitHub recommande de répondre à une livraison avec un code 2xx dans les 10 secondes ; le traitement long peut être déporté dans une file d’attente. L’en-tête X-GitHub-Delivery permet de vérifier l’unicité d’une livraison et de se protéger contre la répétition d’une requête.
Pour une liste d’autorisation statique, ajoutez manuellement les trois préfixes publiés. Si la configuration est gérée automatiquement, actualisez le champ hooks via l’API Meta et comparez régulièrement ses valeurs actuelles à la liste locale. Ainsi, les nouvelles adresses ne seront pas exclues des règles qui filtrent les webhooks entrants.
