GitHub の画面で Copilot に作業を頼むと、セッションが始まらない。あるいは、始まったはずのセッションの画面が途中から更新されなくなる。GitHub のドキュメントは、こうした症状の原因に、ファイアウォール、プロキシ、VPN、セキュリティソフトが通信を止めたり途切れさせたりしている場合を挙げています。その説明と接続先が、2026年11月10日に GitHub のドキュメント（原稿は github/docs リポジトリ）へ加わりました。
ブラウザで開く Copilot のクラウドセッションは、Microsoft の Azure Web PubSub への WebSocket の接続でセッションの出来事をやり取りしている、というものです。ドキュメントは「通常の HTTPS の通信を許可しただけでは、WebSocket の接続が動くことは確認できない」と明記しています。本記事では、許可リストの参照ページとトラブルシューティングのページの原文、/meta API の実際の応答から、許可する接続先と、情シスと開発者で進める切り分けの手順を整理します。
どの使い方に関係するか
ドキュメントの説明では、Copilot は次の場所から始めたセッションを、既定で GitHub が用意するクラウドの環境（クラウドサンドボックス）で動かします。
- GitHub のWebサイトのチャット
- GitHub Mobile
- Slack と Microsoft Teams
- GitHub Copilot のアプリ
- Visual Studio Code
- Copilot SDK のクラウドセッション
Copilot CLI は、既定では手元のマシンで動きます。今回の WebSocket の要件は、「ブラウザで開くクラウドセッション」とブラウザの間の通信についてのものです。クラウドの環境の中で Copilot が外部へ通信するときのファイアウォール（許可リスト）とは別の話だと、ドキュメントも区別しています。
許可する接続先
許可リストの参照ページの表には、次の7件が加わりました。いずれも「GitHub 上の Copilot が出来事と更新をリアルタイムに流すための WebSocket の接続」で、TCP の443番ポートで安全な WebSocket（wss://）の通信を許可するよう書かれています。
wss://production-copilot-host.webpubsub.azure.com
wss://production-copilot-host-centralus.webpubsub.azure.com
wss://production-copilot-host-centralus-02.webpubsub.azure.com
wss://production-copilot-host-westus.webpubsub.azure.com
wss://production-copilot-host-westus3.webpubsub.azure.com
wss://production-copilot-host-eastasia.webpubsub.azure.com
wss://production-copilot-host-austriaeast.webpubsub.azure.com注意点が3つあります。
/metaの「ワイルドカード」には含まれない。ホスト名はdomains.copilotに載っている。 GitHub は、制限のあるネットワークで必要なドメインを/metaAPI で調べることを勧めています。表の「/metaの応答で該当するワイルドカード」の列は、この7件では「Not included」です。一方、2026年11月11日にhttps://api.github.com/metaを確かめると、domains.copilotにこの7件のホスト名がそのまま（wss://を除いた形で）載っていました。/metaを元に許可リストを自動で作っている場合は、domains.copilotの値をすべて取り込んでいるか（*.で始まる値だけに絞っていないか）を確かめてください。ドキュメントが示すgh api meta -q '.domains | .website, .copilot'の出力にも、この7件が含まれます。*.webpubsub.azure.comで一括に許可しない。 ドキュメントは「すべての Azure Web PubSub のサービスを許可するのではなく、必要なホスト名を使う」よう求めています。- データレジデンシー（ghe.com）の企業は別のホスト名。 その企業が使うホスト名を、セッションを始めたときのブラウザの開発者ツールで確かめるか、GitHub のサポートに確認するよう書かれています。
HTTPS の許可だけでは足りない理由
ドキュメントは、プロキシやファイアウォールが「WebSocket の接続と、その後の双方向のやり取りを継続して扱えること」を求めています。そして、この条件は、ブラウザからサービスまでの経路にあるプロキシ、VPN、セキュリティソフトのすべてに当てはまる、としています。
GitHub への HTTPS のリクエストが成功しても、この別の接続は試されていない。WebSocket への切り替えを示す HTTP の 101 Switching Protocols が返っても、それは切り替えができたことを示すだけで、その後のやり取りが続くことまでは確かめられない。ドキュメントは、この2点を明記しています。
切り分けの手順
トラブルシューティングのページは、次の順番を示しています。
- ブラウザの開発者ツールで接続先を記録する。 セッションを始めながら、ネットワークの画面で WebSocket のリクエストを見て、
.webpubsub.azure.comで終わるホスト名、失敗した時刻、エラーの内容を控えます。接続の URL 全体は共有しないよう書かれています。アクセストークンを含むことがあるためです。エラーやスクリーンショット、ログを共有する前に、トークン、Cookie、URL のクエリ文字列を取り除きます。 - ネットワークの管理者に確認を頼む。 そのホスト名が許可されているか、プロキシやファイアウォールが443番の安全な WebSocket と、双方向の継続したやり取りに対応しているかを確かめます。
- TLS の検査を確かめる。 TLS の検査（通信の中身を検査する仕組み）を入れている場合、それが接続を妨げていないかをセキュリティの担当に確かめてもらいます。除外を設ける場合は組織の方針に従い、必要なホストに限ること、証明書の検証を無効にしないことが求められています。
- 再試行して、更新が届くかを見る。 接続できたうえで、セッションの更新が実際に届くことを確かめます。
それでも直らない場合は、セッションの URL、失敗した時刻、WebSocket のホスト名、エラーの内容を添えて GitHub のサポートに問い合わせるよう書かれています。ドキュメントは「ネットワークの設定を変えても、すべてのセッションの開始の失敗が直るわけではない」とも添えています。
社内で進めるときの分担（編集部の提案）
ここからは編集部の提案です。
1. 許可の申請は7件を一度に出す。 どのリージョンの接続先が使われるかはドキュメントに書かれていません。一部だけを許可すると、人や時間によって症状が出たり出なかったりして、切り分けが難しくなります。
2. 開発者には「ホスト名と時刻だけ」を渡してもらう。 手順1の注意のとおり、接続の URL やスクリーンショットにはトークンが含まれえます。社内のチケットの書式に、ホスト名・時刻・エラーの内容の欄を用意しておくと、誤って貼られるのを防げます。
3. 確認は「接続できた」ではなく「更新が届いた」で終える。 101 が返ったことや、HTTPS のテストの成功では完了にしません。実際にセッションを動かし、画面が更新され続けることを確かめます。
Copilot を社内で使うときの、ほかの管理上の制約は、コンテンツ除外の記事で扱いました。AIのエージェントをクラウドの隔離環境で動かすときの権限の考え方は、Docker Cloud Sandboxesの記事も参考になります。
確認した範囲
2026年11月11日に、docs.github.com の「Copilot allowlist reference」「Troubleshooting network errors for GitHub Copilot」「About cloud sandboxes」の公開ページと、その原稿（github/docs）、接続先を加えたコミット cd0aca0・4a386e1、説明を加えたコミット 4f5470d（いずれも11月10日）を確認しました。あわせて
https://api.github.com/metaの応答で、domains.copilotに7件のホスト名があることを確かめました（資料調査）。社内のプロキシやファイアウォールでの接続の確認は行っていません。
社内のネットワークの設定を含めて、Copilot などの開発・AIのツールを安全に導入する仕組みづくりは、グリームハブの開発・AI・自動化のご相談で承っています。ネットワークの構成によって進め方が変わるため、お問い合わせからご相談ください。
参考資料
- GitHub Docs — Copilot allowlist reference
- GitHub Docs — Troubleshooting network errors for GitHub Copilot
- GitHub Docs — About cloud sandboxes for GitHub Copilot
- GitHub REST API — Meta（
/meta） - github/docs — commit cd0aca0（Add WebSocket URLs for Copilot event streaming）
- github/docs — commit 4f5470d（Clarify Copilot WebSocket allowlists and proxy troubleshooting）
- github/docs — commit 4a386e1（Add East Asia and Austria East Copilot WebSocket allowlist hosts）
