Michael JohnsonOm din server bara tar emot GitHub-webhooks från tillåtna IP-adresser lägger du till tre nya prefix i allowlistan. Den 29 oktober 2026 meddelade GitHub att nya intervall för leveranser till github.com hade lagts till i fältet hooks i Meta API. Ändringen gäller webhook-leveranser till github.com för alla abonnemang, inklusive GitHub Enterprise Cloud.
Vilka intervall ska läggas till?
För manuell uppdatering listar GitHub följande CIDR-prefix:
9.234.98.160/289.234.98.176/289.234.106.48/28
Lägg till dem tillsammans med de GitHub-adresser som redan är tillåtna och behåll de tidigare intervallen. Om allowlistan redan uppdateras via Meta API behövs ingen separat ändring för dessa prefix: den aktuella listan över webhooks returneras i fältet hooks. Dokumentationen för Meta API påpekar att värdena i exempelsvaret är demonstrationsvärden; hämta aktuella data direkt för en fungerande konfiguration.
Kontrollera hur allowlistan skapas
Ta först reda på var listan över tillåtna adresser anges: i programmets nätverksbrandvägg, en reverse proxy, en molnpolicy eller företagets brandvägg. Kontrollera sedan om systemet uppdaterar hela uppsättningen från GET /meta eller bara sparar manuellt tillagda poster. I det första fallet bekräftar du att fältet hooks ingår i synkroniseringen. I det andra lägger du till de tre prefixen utan att ta bort de tidigare.
Offentliga data från GET /meta är tillgängliga utan autentisering. GitHub rekommenderar att allowlistan uppdateras regelbundet eftersom tjänsternas adresser kan ändras. Automatisera genom att hämta fältet hooks från svaret och jämföra hela uppsättningen med den lokala konfigurationen innan nätverksreglerna tillämpas.
Vad ska kontrolleras efter uppdateringen?
Kontrollera att de nya CIDR-prefixen finns i den aktiva konfigurationen och att de gamla posterna är kvar. Granska sedan webhook-leveransloggen och nätverksloggarna för eventuella avvisningar efter ändringen. Det är bra att kombinera IP-filtrering med andra kontroller: GitHubs rekommendationer omfattar HTTPS med certifikatvalidering, en webhook-hemlighet och kontroll av händelsetypen före behandling.
GitHub rekommenderar att svara på en leverans med statuskod 2xx inom 10 sekunder; längre behandling kan flyttas till en kö. Headern X-GitHub-Delivery hjälper till att identifiera unika leveranser och skydda mot återuppspelning av begäranden.
För en statisk allowlista lägger du manuellt till alla tre publicerade prefix. Om konfigurationen hanteras automatiskt uppdaterar du fältet hooks via Meta API och jämför regelbundet dess aktuella värden med den lokala listan. Då hamnar inte nya adresser utanför reglerna som filtrerar inkommande webhooks.
