Twitterbot / X-Crawler — IP-Ranges, ASN-Verifikation und das Grok-AI-Training-Risiko
von Shopbetreibern für Shopbetreiber.
Die IP-Ranges des X-/Twitter-Crawlers (Twitterbot) zum Allowlisten oder Blocken — plus warum X keine offizielle IP-Liste publiziert, wie man per ASN (AS-TWITTER) verifiziert und warum seit der xAI-Übernahme auch Grok-AI-Training aus denselben Netzen kommen kann.
X (vormals Twitter) betreibt den Twitterbot für Link-Previews (Twitter-Cards) — und seit der Übernahme durch xAI (Mai 2025) kommen aus denselben Netzen vermutlich auch AI-Trainings-Crawls für Grok. X publiziert keine offizielle IP-Liste; Verifikation läuft ausschließlich über die ASN. Hier die aggregierten Ranges (Teil unseres PARC-Security-Feeds) und wie wir sie ermittelt und validiert haben.
twitter-x.json — Feed ansehen X-Cards-Doku →
Die Ranges
Insgesamt 20 Prefixes (17 IPv4 + 3 IPv6), aggregiert aus fünf X-eigenen ASNs:
8.25.194.0/23 192.44.68.0/23 199.96.56.0/21
8.25.196.0/23 192.48.236.0/23 202.160.128.0/22
64.63.0.0/18 192.133.76.0/22 209.237.192.0/19
69.12.56.0/21 199.16.156.0/22 2400:6680::/32
69.195.160.0/19 199.59.148.0/22 2606:1f80::/32
103.252.112.0/22 104.244.40.0/21 2a04:9d40::/29
185.45.4.0/22 188.64.224.0/21
Diese Liste haben wir aus dem ASN-Eigentum abgeleitet (keine offizielle X-Liste) und gegen aktive Twitterbot-Pools per FCrDNS validiert.
Keine offizielle IP-Liste — nur ASN
X (und davor Twitter) veröffentlicht keine Crawler-IP-Liste. Das X-Developer-Forum bestätigt es wörtlich: „No accurate information on the IPs used by the Twitterbot Crawler." Übrig bleibt die ASN-Verifikation — und weil X-Daten heute auch in Grok fließen können, packen wir bewusst alle Prefixes der X-ASNs in den Feed, nicht nur die FCrDNS-aktiven.
ASN-Konstellation (AS-SET AS-TWITTER)
Aus dem RADB-AS-SET AS-TWITTER (Maintainer MAINT-AS13414, gepflegt von arad@twitter.com):
- AS13414 — Twitter Inc.: US-Haupt-Backbone, der Großteil der Prefixes.
- AS35995 — Twitter Inc.: US.
- AS54888 — Twitter Inc.: US.
- AS63179 — Twitter Inc.: US.
- AS63194 — Crashlytics, Inc.: US-CDN (seit 2017 Twitter-Tochter, Mobile-Crash-Reporting).
Nach Deduplizierung und CIDR-Aggregation werden aus ~148 Sub-Allocations 20 Prefixes (86 % kürzer).
Empirische Validierung
PTR-Sweep über die aktiven Twitterbot-/24 plus Cross-Check der in Foren und im X-Dev-Forum genannten IPs:
| /24 | PTRs auf *.twttr.com / *.x.com | Bewertung |
|---|---|---|
199.59.148.0/24 | 244 / 256 | hochaktiver Twitterbot-Pool |
199.59.149.0/24 | 253 / 256 | hochaktiver Twitterbot-Pool |
199.59.150.0/24 | 197 / 256 | hochaktiver Twitterbot-Pool |
199.16.156.0/24 | neue *.x.com-Convention | aktiv |
104.244.x · 64.63.x | meist PTR-leer | Backend-Worker ohne PTR |
199.59.156.0/24 | 0 | nicht mehr Twitter (siehe unten) |
Bilanz: 16 von 17 bekannten Twitterbot-IPs sind durch die ASN-Aggregat-Liste abgedeckt. Die einzige „Lücke" ist Absicht: 199.59.156.x wurde in alter X-Dokumentation als Twitterbot-Range genannt, gehört aber seit 2024 SupportCloud LLC (AS53674) — heute Spam-Domain, korrekt nicht im Feed.
PTR-Muster
r-{ip-mit-bindestrichen}.twttr.com— alte Twitter-Convention (199.59.148–150.0/22), FCrDNS-validierbar{name}.x.com— neue X-Convention (z. B.spring-chicken-bo.x.com) für 199.16.156.0/22*.twttr.com/*.twimg.com— CDN-Endpunkte- Backend-IPs (104.244.x, 64.63.x, 8.25.x) sind PTR-leer — operative Outgoing-NAT ohne öffentliches Branding
Das Grok-Thema
Seit Mai 2025 ist X formal eine xAI-Holdings-Tochter. Grok (das LLM von xAI) wird u. a. mit Web-Crawl-Daten trainiert. Aus den X-eigenen ASNs kann also zusätzlich zum klassischen Twitterbot auch AI-Trainings-Traffic kommen — analog zu Meta-ExternalAgent. Einen offiziell dokumentierten Grok-Crawler-User-Agent gibt es nicht (Stand Juni 2026); mögliche Crawls laufen vermutlich unter Twitterbot oder einem Browser-User-Agent aus denselben Netzen.
Konsequenz: Wer nur Twitter-Cards will, kann Twitterbot per User-Agent erlauben. Wer AI-Training-Scraping ausschließen will, muss die X-ASNs per IP blocken — denn über den User-Agent allein lässt sich ein getarnter Grok-Crawler nicht sicher fassen. Genau dafür ist die vollständige ASN-Liste im Feed.