GitHub webhook için 48 IP ekledi: izin listesi imzanın yerini tutmaz
Pull request açılır ama dağıtım botu sessizdir. İstek uygulamaya ulaşmadan güvenlik duvarında engellenmiş olabilir. GitHub’ın 29 Ekim duyurusu bu gelen trafik yoluyla ilgilidir.
Alıcı tarafına eklenecek üç aralık
Yeni CIDR’ler 9.234.98.160/28, 9.234.98.176/28 ve 9.234.106.48/28. GitHub Enterprise Cloud dahil tüm planlarda github.com webhook teslimleri için geçerlidir. Statik izin listesine eski aralıkları kaldırmadan ekleyin.
Her /28, 16 adres içerir; toplam 48. Görsel Python ipaddress ile gerçekten çalıştırılan yerel hesabı gösterir, hesap veya sunucu sayısını değil. GitHub’a göre listeyi GET /meta içindeki hooks ile güncel tutanlar bu ekleme için başka değişiklik yapmaz.
IP ve imza farklı soruları yanıtlar
Liste, alıcıya hangi ağlardan erişilebileceğini belirler. Bunun için hooks kullanılır; runner’ların başka yolunu anlatan actions değil. Olay almak ve CI’dan harici API çağırmak farklı yönlerdir.
Ardından webhook secret’ıyla X-Hub-Signature-256 doğrulanır. GitHub, secret ve gövdeden HMAC-SHA256 üretir. Orijinal baytlardan hesaplayıp hmac.compare_digest veya crypto.timingSafeEqual gibi sabit zamanlı karşılaştırma kullanın. İzinli IP bu adımı kaldırmaz.
Aynı anlamdaki JSON farklı baytlar taşıyabilir
{"action":"opened"} yerine {"action": "opened"} yazmak boşluk ekler. Anlam aynı kalsa da imza değişebilir. Herkese açık demo secret’ıyla yerel örnekte aynı baytlar True, ek boşluk False üretir. Bu gerçek GitHub teslim kaydı değildir.
Dönüştürmeden önce ham gövdeyi koruyun; proxy veya framework değişikliklerini inceleyin. Secret’ı payload URL’sine koymak başka bir sızıntı yolu açar. Güvenli sunucu yapılandırmasında tutun.
Tamamlanan işi tekrarlamadan kurtarma
Ağ düzeldikten sonra başarısız teslimleri inceleyip gerekenleri yeniden gönderin. İstenen yeniden teslimde X-GitHub-Delivery aynı kalır. Tamamlanmış işleri sürdürülebilir hatalardan ayırın; görülen her ID’yi atmak kurtarmayı da engelleyebilir.
GitHub on saniye içinde 2XX yanıtı ve uzun işler için kuyruk önerir. İmza kontrolünü kalıcı kabule ve yeniden denenebilir işlem durumuna bağlayın. Üç CIDR böylece gelişten doğrulamaya ve tamamlanmaya uzanan yolun parçasıdır.