← Все новости

DevOps ·

GitHub добавил новые IP-диапазоны для вебхуков: статические allowlist нужно обновитьGitHub adds new webhook IP ranges: static allowlists need updating

Вебхуки github.com начнут приходить с трёх новых подсетей /28. Кто синхронизирует allowlist из Meta API, ничего делать не должен. Кто прописал адреса вручную, рискует потерять доставки.github.com webhooks will start arriving from three new /28 subnets. Teams syncing their allowlist from the Meta API need do nothing; those with hand-maintained lists risk dropped deliveries.

29 октября GitHub добавил новые диапазоны адресов, с которых github.com доставляет вебхуки. Поле hooks в Meta API (https://api.github.com/meta) теперь включает три подсети:

9.234.98.160/28
9.234.98.176/28
9.234.106.48/28

Изменение касается всех тарифов, включая GitHub Enterprise Cloud.

Кого затрагивает

  • Allowlist прописан вручную в файрволе, WAF, security group или ingress у Jenkins, Argo CD, Atlantis, ботов и другого self-hosted приёмника. Новые подсети нужно добавить, иначе часть доставок будет отклонена. Сбой проявится как «случайные» пропуски: часть событий придёт со старых адресов, часть — нет.
  • Allowlist синхронизируется из Meta API — ничего делать не нужно.

Отдельной даты вступления в силу в записи нет, поэтому лучше обновить списки сразу.

Рекомендации

  • Перевести allowlist на автоматическую синхронизацию с полем hooks Meta API, а не держать захардкоженные диапазоны.
  • Не полагаться только на IP: проверять подпись X-Hub-Signature-256 с секретом вебхука.
  • После изменения посмотреть вкладку Recent Deliveries в настройках вебхука и убедиться, что ответы приходят без ошибок.

В октябре у GitHub уже были задержки доставки вебхуков pull request, так что мониторинг доставок полезен и сам по себе.

On 29 October GitHub added new address ranges for webhook deliveries from github.com. The hooks field in the Meta API (https://api.github.com/meta) now includes three subnets:

9.234.98.160/28
9.234.98.176/28
9.234.106.48/28

The change applies to all plans, including GitHub Enterprise Cloud.

Who is affected

  • Hand-maintained allowlists in a firewall, WAF, security group or ingress in front of Jenkins, Argo CD, Atlantis, bots or any other self-hosted receiver. Add the new subnets or some deliveries will be rejected. The failure looks like “random” misses: some events come from old addresses and get through, others don’t.
  • Allowlists synced from the Meta API: no action needed.

The entry gives no separate effective date, so update lists now.

Recommendations

  • Sync the allowlist automatically from the Meta API hooks field instead of hardcoding ranges.
  • Don’t rely on IPs alone: verify the X-Hub-Signature-256 signature with your webhook secret.
  • After the change, check Recent Deliveries in the webhook settings for errors.

GitHub already had pull request webhook delivery delays in October, so delivery monitoring pays off on its own.

Источники

Похожие новости