GitHub добавила новые IP-диапазоны вебхуков: как обновить allowlist

Если сервер принимает вебхуки GitHub только с разрешённых IP-адресов, добавьте в allowlist три новых префикса. 29 октября 2026 года GitHub объявила, что новые диапазоны для доставок на github.com появились в поле hooks Meta API. Изменение распространяется на доставки вебхуков на github.com во всех тарифах, включая GitHub Enterprise Cloud.

Какие диапазоны добавить

Для ручного обновления GitHub перечисляет следующие CIDR-префиксы:

• 9.234.98.160/28
• 9.234.98.176/28
• 9.234.106.48/28

Добавьте их рядом с уже разрешёнными адресами GitHub, сохранив прежние диапазоны. Если allowlist уже обновляется через Meta API, отдельная правка для этих префиксов не требуется: актуальный список вебхуков возвращается в поле hooks. Документация Meta API предупреждает, что значения в примере ответа демонстрационные; для рабочей конфигурации запросите актуальные данные напрямую.

Проверьте, как формируется allowlist

Сначала выясните, где задан список разрешённых адресов: в сетевом экране приложения, reverse proxy, облачной политике или корпоративном firewall. Затем проверьте, обновляет ли система весь набор из GET /meta либо хранит только вручную внесённые записи. В первом случае подтвердите, что поле hooks входит в синхронизацию; во втором — добавьте три префикса, не удаляя предыдущие.

Публичные данные GET /meta доступны без аутентификации. GitHub рекомендует периодически обновлять allowlist, поскольку адреса сервисов могут меняться. Для автоматизации извлекайте поле hooks из ответа и сверяйте полный набор с локальной конфигурацией перед применением сетевых правил.

Что проверить после обновления

Убедитесь, что новые CIDR-префиксы появились в активной конфигурации и что старые записи сохранились. Затем проверьте журнал доставок вебхуков и сетевые логи на отказы после изменения. IP-фильтр полезно сочетать с другими проверками: рекомендации GitHub включают HTTPS с проверкой сертификата, секрет вебхука и проверку типа события перед обработкой.

GitHub советует отвечать на доставку кодом 2xx в течение 10 секунд; длительную обработку можно вынести в очередь. Заголовок X-GitHub-Delivery помогает учитывать уникальность доставки и защищаться от повторного воспроизведения запроса.

Для статического allowlist вручную добавьте все три опубликованных префикса. Если конфигурация управляется автоматически, обновляйте поле hooks через Meta API и периодически сверяйте его текущие значения с локальным списком. Так новые адреса не останутся за пределами правил, которые фильтруют входящие вебхуки.