GitHub ergänzt drei IP-Bereiche für Webhook-Zustellungen in der Meta-API
Victoria Shinder1 Min. LesezeitGitHub teilte am 29. Oktober mit, dass Webhook-Zustellungen von github.com künftig auch aus drei weiteren Adressbereichen kommen können und das Feld hooks der Meta-API (https://api.github.com/meta) entsprechend ergänzt wurde. Die neuen Präfixe lauten 9.234.98.160/28, 9.234.98.176/28 und 9.234.106.48/28.
Die Änderung gilt für alle Tarife, einschließlich GitHub Enterprise Cloud. Wer die Liste ohnehin regelmäßig aus der Meta-API zieht, muss nichts tun. Gefährdet sind statische Allowlists auf Firewalls, Reverse Proxies oder Security Groups, die irgendwann von Hand übernommen wurden: GitHub rät, die drei Präfixe zu den bestehenden hinzuzufügen, sonst werden Zustellungen von den neuen Adressen abgewiesen.
Der Changelog-Eintrag nennt keinen Zeitpunkt, ab dem Zustellungen aus den neuen Bereichen beginnen, und kündigt nicht an, dass bestehende Bereiche wegfallen.
Was das bedeutet
Ein abgewiesener Webhook scheitert meist leise: GitHub protokolliert die fehlgeschlagene Zustellung und versucht es eine Weile erneut, während CI-Job, Deployment oder Bot auf der Empfängerseite einfach nicht anlaufen. Fehlen einer Pipeline plötzlich Ereignisse, zeigt der Reiter Recent Deliveries in den Webhook-Einstellungen die gescheiterten Versuche. Dauerhaft hilft, die Allowlist aus der API zu erzeugen statt sie von Hand zu pflegen, und bei jeder Zustellung den Signatur-Header zu prüfen, der von Quelladressen gar nicht abhängt.