Pourquoi journaliser les actions des utilisateurs ?

Une application sans journal est une pièce sans mémoire. Quand une donnée disparaît ou qu'un montant change, personne ne peut expliquer ce qui s'est passé. Voici à quoi sert cette trace et comment la concevoir.

Quatre usages concrets

• Comprendre un incident : reconstituer la suite d'actions qui a conduit à un état anormal.
• Répondre à une réclamation : savoir quand un statut a changé et qui l'a modifié.
• Récupérer une valeur : retrouver le contenu précédent d'un champ écrasé par erreur.
• Détecter un usage anormal : des consultations massives de fiches, des connexions à des heures inhabituelles, un compte utilisé depuis deux endroits.

Ce dernier usage prend de l'importance dès que l'application contient des données personnelles : le journal est souvent le seul moyen de savoir si une fuite a eu lieu et quelle en est l'ampleur.

Ce que doit contenir une entrée

Ce qu'il ne faut pas y mettre

Un journal se conserve longtemps et se copie facilement. Il ne doit donc jamais contenir de mots de passe, même partiels, ni de données de paiement, ni le contenu intégral de documents sensibles. Pour les champs très confidentiels, enregistrez qu'une modification a eu lieu sans recopier la valeur. Le journal lui-même contient des données personnelles : il entre dans le champ du RGPD et doit figurer dans votre registre des traitements, avec une durée de conservation définie.

Trois qualités indispensables

1. Inaltérable : personne ne doit pouvoir modifier ou effacer une entrée, y compris les comptes d'administration. Un journal que l'on peut réécrire ne prouve rien.
2. Lisible : une entrée doit être compréhensible par une personne non technique. « Statut du dossier 4821 passé de en attente à validé par Camille Durand » vaut mieux qu'une suite de codes.
3. Exploitable : une recherche par dossier, par utilisateur et par période doit être possible sans intervention technique.

Combien de temps le garder

La durée se décide selon l'usage. Trop courte, le journal ne sert à rien : beaucoup d'anomalies se découvrent des semaines après. Trop longue, il accumule des données personnelles sans justification. Fixez une durée par catégorie d'événement, appliquez-la automatiquement, et écrivez-la. Les connexions, les modifications de droits et les suppressions méritent généralement une conservation plus longue que les simples consultations.

Le lien avec les droits d'accès

Journal et droits d'accès se complètent. Les droits empêchent une action ; le journal montre ce qui a été fait dans les limites autorisées. Aucun des deux ne remplace l'autre. L'article gérer les droits d'accès dans une application traite le premier volet. Prévoyez aussi une revue périodique : consulter le journal seulement après un incident revient à s'en priver comme outil de détection. NexSecure intègre ces journaux aux applications qu'elle développe, dans le cadre de son offre de développement web sur mesure.