Journaux : quoi enregistrer et combien de temps ?
En bref
Un journal enregistre les événements d'un système : connexions, erreurs, actions sensibles. Chaque entrée doit indiquer la date précise, le compte concerné, l'action, l'origine de la demande et son résultat. Les mots de passe et les données sensibles n'y figurent jamais. La durée de conservation se définit à l'avance, en conciliant besoin d'investigation et limitation des données personnelles.
Le jour où un problème survient, les journaux répondent à trois questions : que s'est-il passé, quand, et depuis quelle origine. S'ils n'existent pas, ou s'ils ont été effacés, l'analyse s'arrête là. C'est pourquoi la journalisation se met en place avant l'incident, jamais pendant.
Quels journaux existent déjà
La plupart des systèmes en produisent sans qu'on le sache. Encore faut-il savoir où ils sont et vérifier qu'ils sont actifs.
- Le serveur web : chaque page demandée, avec l'origine, l'heure et le code de réponse.
- L'application : connexions réussies et échouées, changements de droits, exports, erreurs internes.
- La base de données : erreurs, connexions, parfois les requêtes lentes ou anormales.
- Le système : démarrages, installations, tâches planifiées, accès distants au serveur.
- Les services annexes : messagerie, filtrage en amont, sauvegardes.
Ce qu'une bonne entrée de journal contient
| Information | Pourquoi elle compte |
|---|---|
| Horodatage précis | Permet de recouper plusieurs sources. Les horloges des machines doivent être synchronisées, sans quoi la chronologie devient impossible à reconstituer. |
| Compte ou identifiant | Indique qui a agi, à condition que les comptes soient nominatifs et non partagés. |
| Action réalisée | Décrit l'événement en termes compréhensibles, pas seulement un code technique. |
| Origine de la demande | Adresse de provenance, utile pour distinguer une activité interne d'un accès extérieur. |
| Résultat | Succès ou échec : une série d'échecs suivie d'un succès est un signal en soi. |
Ce qu'un journal ne doit jamais contenir
Un journal se copie, se transmet au support, s'archive. Il devient donc un fichier sensible s'il contient des données qu'il n'aurait pas dû enregistrer : mots de passe même partiels, jetons de session, numéros de carte bancaire, contenu intégral des formulaires, données de santé. Enregistrez l'événement, pas la donnée. En cas de doute, remplacez la valeur par une mention indiquant qu'un champ a été renseigné.
Combien de temps les conserver
Deux exigences s'opposent. Trop courte, la conservation empêche toute analyse, car une intrusion se découvre souvent longtemps après son début. Trop longue, elle accumule des données personnelles sans justification, ce que le RGPD n'admet pas.
En pratique, des durées de l'ordre de six mois à un an sont couramment retenues pour les journaux techniques, la CNIL évoquant cet ordre de grandeur dans ses recommandations de sécurité. L'essentiel est de fixer la durée à l'avance, de la justifier, de l'inscrire dans votre documentation et de purger automatiquement au-delà. Le raisonnement rejoint celui décrit dans notre article sur la durée de conservation des données.
Protéger les journaux eux-mêmes
- Les sortir de la machine surveillée : un attaquant qui prend la main sur un serveur efface d'abord ses traces. Une copie envoyée ailleurs au fil de l'eau lui échappe.
- Restreindre l'accès en lecture, car ces fichiers révèlent la structure du système et l'activité des personnes.
- Empêcher la modification : privilégier un stockage où les entrées s'ajoutent sans pouvoir être réécrites.
- Surveiller la place disponible : un disque saturé interrompt l'enregistrement, parfois sans avertissement.
Des journaux que personne ne lit ne servent à rien
Le volume rend la lecture manuelle illusoire. Définissez quelques alertes ciblées plutôt qu'un tableau exhaustif : création d'un compte d'administration, série d'échecs suivie d'une réussite, connexion depuis un pays sans activité, volume de téléchargement inhabituel. Le reste sert à l'enquête, une fois l'alerte déclenchée. Cette logique complète la supervision technique, qui surveille la disponibilité plutôt que la sécurité.
NexSecure centralise et surveille ces journaux dans le cadre de son offre d'infogérance.
Questions fréquentes
Les journaux contiennent-ils des données personnelles ?
Souvent oui : une adresse de connexion et un identifiant de compte permettent d'identifier une personne. Ils entrent donc dans le champ du RGPD, avec une durée de conservation définie, un accès restreint et une mention dans votre documentation interne.
Faut-il tout journaliser ?
Non. Un volume ingérable coûte cher et noie les signaux utiles. Concentrez-vous sur l'authentification, les changements de droits, les accès aux données sensibles et les erreurs, plutôt que sur chaque clic.
Où stocker les journaux ?
Ailleurs que sur la machine qu'ils surveillent, afin qu'ils survivent à une compromission. Un espace dédié, en accès restreint, où les entrées s'ajoutent sans pouvoir être modifiées, constitue la solution la plus robuste.
Les journaux servent-ils après un incident ?
Oui, ils sont même décisifs : ils datent le début de l'intrusion, identifient la porte d'entrée et indiquent les données consultées. Cette dernière information conditionne la notification éventuelle à la CNIL.
Sources
Service lié
Articles liés
Rédigé par l'équipe NexSecure. Responsable de la publication : Yohann Toumine. Dernière mise à jour le 11 septembre 2026.
Une question sur votre situation ? Parler de votre projet