Michael JohnsonGitHubのWebhookを許可済みIPアドレスからのみ受け入れるサーバーでは、新しい3つのプレフィックスを許可リストに追加してください。GitHubは2026年10月29日、新しい範囲がMeta APIのhooksフィールドに追加され、github.comへの配信に適用されると発表しました。この変更は、GitHub Enterprise Cloudを含むすべてのプランにおけるgithub.comへのWebhook配信が対象です。
追加する範囲
手動で更新する場合、GitHubが示すCIDRプレフィックスは次のとおりです。
9.234.98.160/289.234.98.176/289.234.106.48/28
既存のGitHub許可アドレスはそのまま残し、これらを追加してください。許可リストをすでにMeta API経由で更新している場合、これらのプレフィックスを個別に設定する必要はありません。最新のWebhook一覧はhooksフィールドに含まれます。Meta APIのドキュメントによると、レスポンス例の値は説明用です。実際の設定には、APIに直接リクエストして最新データを取得してください。
許可リストの生成方法を確認する
まず、許可アドレスのリストがアプリケーションのファイアウォール、リバースプロキシ、クラウドポリシー、企業ファイアウォールのどこに設定されているかを確認します。次に、システムがGET /metaから取得した一式を更新しているのか、手動で登録した項目だけを保持しているのかを調べてください。前者の場合はhooksフィールドが同期対象に含まれていることを確認し、後者の場合は既存の範囲を削除せずに3つのプレフィックスを追加します。
GET /metaの公開データは認証なしで取得できます。サービスのアドレスは変更されることがあるため、GitHubは許可リストを定期的に更新するよう推奨しています。自動化する場合は、レスポンスからhooksフィールドを取り出し、ネットワークルールを適用する前にローカル設定と全範囲を照合してください。
更新後に確認すること
新しいCIDRプレフィックスが有効な設定に反映され、既存の項目も残っていることを確認します。その後、更新後にWebhook配信が拒否されていないか、配信ログとネットワークログを調べてください。IPフィルタリングに加えて、GitHubの推奨事項にある証明書検証付きHTTPS、Webhookシークレット、処理前のイベント種別確認も組み合わせると有効です。
GitHubは、配信を10秒以内に2xxステータスコードで応答するよう推奨しています。時間のかかる処理はキューに移すことができます。X-GitHub-Deliveryヘッダーは、配信の一意性を追跡し、リクエストのリプレイ攻撃を防ぐのに役立ちます。
静的な許可リストを使っている場合は、公開された3つのプレフィックスをすべて手動で追加してください。設定を自動管理している場合は、Meta API経由でhooksフィールドを更新し、現在の値をローカルリストと定期的に照合します。これにより、新しいアドレスが受信Webhookをフィルタリングするルールから漏れるのを防げます。
