GitHub, github.com üzerindeki webhook teslimatları için kullandığı IP aralıklarına yenilerini ekledi; bu aralıklar artık Meta API yanıtındaki hooks alanında da görünüyor. Gelen webhook isteklerini statik bir ağ izin listesiyle (allowlist) filtreliyorsanız, yeni CIDR bloklarını mevcut listeye eklemediğiniz sürece bazı teslimatlar güvenlik duvarınız tarafından reddedilebilir.
Eklenen IP aralıkları
GitHub’ın duyurduğu ek CIDR önekleri şunlar:
9.234.98.160/28
9.234.98.176/28
9.234.106.48/28Bu üç blok, halihazırda kullandığınız webhook IP aralıklarının yerine değil, yanına eklenecek şekilde tanımlanmalı; yani mevcut girdileri kaldırmadan listeyi genişletmeniz bekleniyor. Duyuruda aralıkların github.com üzerindeki webhook teslimatları için geçerli olduğu ve GitHub Enterprise Cloud dahil tüm planları kapsadığı belirtiliyor.
Kimin işlem yapması gerekiyor?
Değişikliğin sizi etkileyip etkilemeyeceği, izin listesini nasıl yönettiğinize bağlı olarak ikiye ayrılıyor:
- Statik liste tutuyorsanız: Güvenlik duvarı kuralları, ters proxy yapılandırması, yük dengeleyici ACL’leri veya bulut sağlayıcınızdaki güvenlik grubu tanımları elle güncelleniyorsa, yukarıdaki üç CIDR’ı eklemeniz gerekiyor. Aksi halde bu aralıklardan gelen webhook istekleri bağlantı seviyesinde engellenebilir.
- Meta API ile otomatik güncelliyorsanız: İzin listesini Meta API’den düzenli olarak çekip senkronize eden bir süreciniz varsa, bu eklemeler için ayrıca bir işlem yapmanıza gerek yok. GitHub, bu durumda herhangi bir değişiklik gerekmediğini açıkça belirtiyor.
Risk daha çok, yıllar önce bir kez kopyalanmış IP listesiyle çalışmayı sürdüren ortamlarda. Böyle yapılandırmalarda sorun genellikle “webhook hiç gelmiyor” biçiminde değil, “bazı teslimatlar düşüyor” biçiminde fark edilir, çünkü trafiğin yalnızca bir bölümü yeni aralıklardan çıkar.
Meta API’deki hooks alanı neden önemli?
GitHub’ın Meta API’si, platformun kullandığı IP aralıklarını kategorilere ayırarak sunuyor. Webhook teslimatlarına ait aralıklar hooks alanında listeleniyor ve bu duyuruyla birlikte yukarıdaki üç önek de bu alana dahil edildi. Güncel listeye ulaşmak için ayrı bir kaynağa ya da blog arşivine bakmanız gerekmiyor, tek doğruluk kaynağı API’nin kendisi.
Sürdürülebilir yaklaşım da buradan çıkıyor. IP aralıklarını periyodik olarak yenilenen bir veri kümesi gibi ele almak, sabit kodlanmış (hard-coded) bir liste gibi tutmaktan daha dayanıklı. GitHub zaman zaman yeni aralık ekleyebildiği için elle bakım yapılan listeler kaçınılmaz olarak eskiyor. Meta API’yi besleyen bir otomasyon kurduğunuzda, bunun gibi duyuruları kaçırsanız bile altyapınız kendini günceller.
Güncelleme sırasında dikkat edilecekler
Değişikliği uygularken gözden geçirilecek birkaç nokta var:
- Tüm katmanları tarayın. İzin listesi yalnızca uygulama sunucusunda değil; kenar güvenlik duvarı, WAF, API gateway, ters proxy ve bulut güvenlik grubu gibi birden fazla katmanda tanımlı olabilir. Bir katmanda güncelleme yapıp diğerini atlamak, teşhisi zor kesintilere yol açar.
- CIDR’ları olduğu gibi kullanın.
/28öneklerini elle genişletirken hata yapmak yerine blokları doğrudan tanımlamak daha güvenli. - Mevcut kayıtları silmeyin. Duyuru, bu aralıkların eldeki webhook IP aralıklarına ek olduğunu söylüyor; eski girdileri temizlemek teslimat kaybına neden olabilir.
- Kapsamı doğrulayın. Aralıklar GitHub Enterprise Cloud dahil tüm planlarda github.com webhook teslimatları için geçerli. Kurumsal hesapla çalışıyor olmak, güncellemeden muaf olduğunuz anlamına gelmiyor.
IP filtresi tek başına yeterli bir güvenlik katmanı değil
IP tabanlı izin listesi, webhook uç noktanıza ulaşan trafiği daraltmak için kullanışlı bir yöntem. GitHub’ın webhook teslimatları için önerdiği iyi uygulamalar ise bunun tek savunma hattı olarak bırakılmamasını kapsıyor. Teslimatların doğrulanması, yeniden denemelerin ve olası tekrarların doğru ele alınması, uç noktanın yanıt süresine dikkat edilmesi gibi konular resmi webhook iyi uygulama rehberinde ele alınıyor. IP listesini güncellerken bu rehberi de gözden geçirmek, teslimat kayıplarının yalnızca ağ katmanından kaynaklanmadığı durumları ayıklamanıza yardımcı olur.
Özet
GitHub, github.com webhook teslimatları için üç yeni IP aralığı ekledi ve bunları Meta API’nin hooks alanına dahil etti. Listeyi API üzerinden otomatik senkronize ediyorsanız yapmanız gereken bir şey yok. Elle tutulan bir allowlist’iniz varsa 9.234.98.160/28, 9.234.98.176/28 ve 9.234.106.48/28 bloklarını mevcut kayıtlara ekleyin. Değişiklik, GitHub Enterprise Cloud dahil tüm planlar için geçerli.
Kaynaklar ve İleri Okuma
- GitHub Changelog: Webhook IP ranges added to the Meta API
- GitHub REST API belgeleri: Meta uç noktası
- GitHub Docs: Webhook kullanımında iyi uygulamalar
- GitHub Secret Scanning API ve Webhook İyileştirmeleri
20+ yıl deneyimli Azure Solutions Architect. Microsoft sertifikalı bulut mimari ve DevOps danışmanı. Azure, yapay zekâ ve bulut teknolojileri üzerine Türkçe teknik içerikler üretiyor.
