Michael JohnsonSe il server accetta i webhook di GitHub solo da indirizzi IP autorizzati, aggiungi all’allowlist i tre nuovi prefissi. Il 29 ottobre 2026 GitHub ha annunciato che i nuovi intervalli per le consegne su github.com sono stati aggiunti al campo hooks della Meta API. La modifica riguarda le consegne dei webhook su github.com con tutti i piani, incluso GitHub Enterprise Cloud.
Quali intervalli aggiungere
Per l’aggiornamento manuale, GitHub elenca i seguenti prefissi CIDR:
9.234.98.160/289.234.98.176/289.234.106.48/28
Aggiungili accanto agli indirizzi GitHub già autorizzati, mantenendo gli intervalli precedenti. Se l’allowlist viene già aggiornata tramite la Meta API, non occorre apportare modifiche separate per questi prefissi: l’elenco aggiornato dei webhook è restituito nel campo hooks. La documentazione della Meta API avverte che i valori nell’esempio di risposta sono dimostrativi; per una configurazione operativa, richiedi direttamente i dati aggiornati.
Verifica come viene generata l’allowlist
Per prima cosa, scopri dove è definito l’elenco degli indirizzi autorizzati: nel firewall dell’applicazione, nel reverse proxy, in una policy cloud o nel firewall aziendale. Poi verifica se il sistema aggiorna l’intero insieme da GET /meta oppure conserva solo le voci inserite manualmente. Nel primo caso, conferma che il campo hooks sia incluso nella sincronizzazione; nel secondo, aggiungi i tre prefissi senza eliminare quelli precedenti.
I dati pubblici di GET /meta sono disponibili senza autenticazione. GitHub consiglia di aggiornare periodicamente l’allowlist, poiché gli indirizzi dei servizi possono cambiare. Per automatizzare il processo, estrai il campo hooks dalla risposta e confronta l’intero insieme con la configurazione locale prima di applicare le regole di rete.
Cosa verificare dopo l’aggiornamento
Assicurati che i nuovi prefissi CIDR siano presenti nella configurazione attiva e che le voci precedenti siano state mantenute. Poi controlla il registro delle consegne dei webhook e i log di rete per individuare eventuali rifiuti successivi alla modifica. È utile affiancare il filtro IP ad altri controlli: le raccomandazioni di GitHub includono HTTPS con verifica del certificato, un segreto per il webhook e il controllo del tipo di evento prima dell’elaborazione.
GitHub consiglia di rispondere alla consegna con un codice 2xx entro 10 secondi; le elaborazioni più lunghe possono essere spostate in una coda. L’intestazione X-GitHub-Delivery aiuta a verificare l’unicità della consegna e a proteggersi dalla riproduzione della richiesta.
Per un’allowlist statica, aggiungi manualmente tutti e tre i prefissi pubblicati. Se la configurazione è gestita automaticamente, aggiorna il campo hooks tramite la Meta API e confronta periodicamente i valori correnti con l’elenco locale. In questo modo i nuovi indirizzi non resteranno esclusi dalle regole che filtrano i webhook in ingresso.
