Michael Johnsonאם השרת מקבל וובהוקים של GitHub רק מכתובות IP מורשות, הוסיפו לרשימת ההיתרים שלושה תחילים חדשים. ב־29 באוקטובר 2026 הודיעה GitHub שטווחים חדשים למשלוחים אל github.com נוספו לשדה hooks ב־Meta API. השינוי חל על משלוחי וובהוקים אל github.com בכל התוכניות, כולל GitHub Enterprise Cloud.
אילו טווחים להוסיף
לעדכון ידני, GitHub מפרטת את תחילי CIDR הבאים:
9.234.98.160/289.234.98.176/289.234.106.48/28
הוסיפו אותם לצד הכתובות של GitHub שכבר אושרו, והשאירו את הטווחים הקיימים. אם רשימת ההיתרים כבר מתעדכנת דרך Meta API, אין צורך בשינוי נפרד עבור התחילים האלה: הרשימה העדכנית של הוובהוקים מוחזרת בשדה hooks. התיעוד של Meta API מזהיר שהערכים בדוגמת התשובה הם להמחשה; לתצורה פעילה, בקשו את הנתונים העדכניים ישירות.
בדקו כיצד נוצרת רשימת ההיתרים
תחילה בררו היכן מוגדרת רשימת הכתובות המורשות: בחומת האש של היישום, ב־reverse proxy, במדיניות ענן או בחומת האש הארגונית. לאחר מכן בדקו אם המערכת מעדכנת את כל קבוצת הכתובות מתוך GET /meta או שומרת רק רשומות שהוזנו ידנית. במקרה הראשון, ודאו שהשדה hooks נכלל בסנכרון; במקרה השני, הוסיפו את שלושת התחילים בלי להסיר את הקודמים.
נתונים ציבוריים של GET /meta זמינים ללא אימות. GitHub ממליצה לעדכן את רשימת ההיתרים מעת לעת, משום שכתובות של שירותים עשויות להשתנות. לצורך אוטומציה, חלצו את השדה hooks מהתשובה והשוו את הרשימה המלאה לתצורה המקומית לפני החלת כללי הרשת.
מה לבדוק אחרי העדכון
ודאו שתחילי ה־CIDR החדשים מופיעים בתצורה הפעילה ושהרשומות הישנות נשמרו. לאחר מכן בדקו את יומן משלוחי הוובהוקים ואת יומני הרשת כדי לזהות סירובים בעקבות השינוי. כדאי לשלב סינון לפי IP עם בדיקות נוספות: ההמלצות של GitHub כוללות שימוש ב־HTTPS עם אימות תעודה, סוד לוובהוק ובדיקת סוג האירוע לפני העיבוד.
GitHub ממליצה להשיב למשלוח בקוד 2xx בתוך 10 שניות; אפשר להעביר עיבוד ממושך לתור. הכותרת X-GitHub-Delivery מסייעת לזהות משלוחים ייחודיים ולהגן מפני הפעלה חוזרת של בקשה.
ברשימת היתרים סטטית, הוסיפו ידנית את כל שלושת התחילים שפורסמו. אם התצורה מנוהלת אוטומטית, עדכנו את השדה hooks דרך Meta API והשוו מעת לעת את ערכיו הנוכחיים לרשימה המקומית. כך הכתובות החדשות לא יישארו מחוץ לכללים המסננים וובהוקים נכנסים.
