Journaliser les actions, avant d'en avoir besoin
Qui a modifié ce montant, et quand ? Sans journal d'audit, la question n'a pas de réponse — et elle arrive toujours au pire moment.
Un montant a changé. Un dossier a été clôturé. Un compte a reçu des droits qu’il ne devrait pas avoir. La question qui suit est toujours la même : par qui, et quand ?
Sans journal, la réponse est une reconstitution approximative à partir de souvenirs.
Ce qu’un journal d’audit enregistre
Pour chaque action qui modifie une donnée sensible : qui, quoi, quand, depuis où, et surtout la valeur avant et après.
La valeur avant est celle qui est oubliée, et c’est la plus utile. Savoir qu’un montant a été modifié le 12 mars ne sert à rien ; savoir qu’il est passé de 1 200 € à 12 000 € règle la question.
L’identité doit être celle de la personne réelle, pas celle du compte technique de l’application. Une usurpation d’identité par un administrateur — la fonction « se connecter en tant que » — doit journaliser les deux : l’opérateur et la personne représentée.
Ce qu’il ne faut pas y mettre
Un mot de passe, même erroné — les fautes de frappe font qu’un mot de passe valide finit dans le journal d’un compte voisin. Un numéro de carte. Un jeton de session. Le contenu intégral d’un document médical.
Le journal est souvent moins protégé que la base, plus largement lisible, et conservé plus longtemps. Y déverser des données sensibles crée une seconde base, moins surveillée.
Le distinguer des journaux techniques
Deux besoins, deux dispositifs.
Le journal technique sert au diagnostic : erreurs, lenteurs, traces d’exécution. Il est volumineux, tourne sur quelques jours, et s’adresse aux développeurs.
Le journal d’audit sert à répondre à une question métier ou juridique. Il est peu volumineux, se conserve des années, et doit être lisible par une personne non technique.
Les mélanger produit un dispositif qui ne remplit correctement ni l’un ni l’autre : trop gros pour être conservé, trop cryptique pour être exploité.
Le rendre consultable
Un journal qu’il faut demander à un développeur d’extraire ne sera pas utilisé. Un écran d’historique, sur la fiche concernée, accessible aux responsables : « modifié le 12/03/2026 par Camille Roux, statut passé de En cours à Clôturé ».
Cette visibilité a un effet secondaire notable : les erreurs se corrigent d’elles-mêmes, parce qu’elles deviennent constatables sans enquête.
L’immutabilité, selon l’enjeu
Un journal modifiable par ceux qu’il surveille perd sa valeur probante. Selon le contexte, il peut être écrit dans un stockage en ajout seul, ou recopié vers un système distinct.
C’est une contrainte à calibrer : nécessaire pour des opérations financières ou réglementées, disproportionnée pour un site de contenu.