Michael JohnsonHvis serveren bare godtar GitHub-webhooks fra tillatte IP-adresser, må du legge til tre nye prefikser i tillatelseslisten. 29. oktober 2026 kunngjorde GitHub at nye områder for leveranser til github.com er lagt til i feltet hooks i Meta API. Endringen gjelder webhook-leveranser til github.com på alle abonnementer, inkludert GitHub Enterprise Cloud.
Hvilke områder skal legges til?
Ved manuell oppdatering oppgir GitHub disse CIDR-prefiksene:
9.234.98.160/289.234.98.176/289.234.106.48/28
Legg dem til sammen med de allerede tillatte GitHub-adressene, og behold de eksisterende områdene. Hvis tillatelseslisten allerede oppdateres via Meta API, trenger du ikke å legge inn disse prefiksene separat: Den oppdaterte listen over webhook-adresser returneres i feltet hooks. Dokumentasjonen for Meta API presiserer at verdiene i eksempelsvaret er illustrative; for en fungerende konfigurasjon må du hente oppdaterte data direkte.
Kontroller hvordan tillatelseslisten opprettes
Finn først ut hvor listen over tillatte adresser er definert: i programmets brannmur, en omvendt proxy, en skybasert policy eller en bedriftsbrannmur. Kontroller deretter om systemet oppdaterer hele listen fra GET /meta, eller om det bare lagrer oppføringer som er lagt inn manuelt. I det første tilfellet må du bekrefte at feltet hooks er med i synkroniseringen. I det andre legger du til de tre prefiksene uten å fjerne de eksisterende.
Offentlige data fra GET /meta er tilgjengelige uten autentisering. GitHub anbefaler at tillatelseslisten oppdateres jevnlig, siden tjenestenes adresser kan endres. For å automatisere dette kan du hente ut feltet hooks fra svaret og sammenligne hele listen med den lokale konfigurasjonen før du aktiverer nettverksreglene.
Dette bør du kontrollere etter oppdateringen
Kontroller at de nye CIDR-prefiksene finnes i den aktive konfigurasjonen, og at de gamle oppføringene er beholdt. Sjekk deretter webhook-leveringsloggen og nettverksloggene for avviste forespørsler etter endringen. IP-filtrering bør kombineres med andre kontroller: GitHubs anbefalinger omfatter HTTPS med sertifikatvalidering, en webhook-hemmelighet og kontroll av hendelsestypen før behandling.
GitHub anbefaler at du svarer på leveranser med statuskode 2xx innen 10 sekunder. Langvarig behandling kan flyttes til en kø. Overskriften X-GitHub-Delivery gjør det mulig å kontrollere at hver leveranse er unik og beskytte mot gjentatt avspilling av forespørselen.
Hvis tillatelseslisten er statisk, legger du inn alle de tre publiserte prefiksene manuelt. Hvis konfigurasjonen administreres automatisk, oppdaterer du feltet hooks via Meta API og sammenligner verdiene jevnlig med den lokale listen. Slik unngår du at nye adresser holdes utenfor reglene som filtrerer innkommende webhooks.
