Audit Trail — la preuve vérifiable

01Une piste de preuve, pas un journal de diagnostic #sec_8812bfdf

Un journal applicatif aide un exploitant à comprendre un incident technique. Une piste d'audit doit permettre à un client ou à un auditeur d'établir qui a fait quoi, sur quel périmètre, avec quel résultat et pourquoi . REVIEWIT traite ces deux besoins comme deux domaines distincts.

Audit Trail constitue le noyau commun à toutes les surfaces : authentification, API, administration, campagnes, certifications, RITA et traitements de plateforme. Les actions partagent un catalogue stable au lieu de listes codées différemment dans chaque application.

Le code d'une action est sa clé durable ; son libellé est une ressource traduisible. Corriger une formulation ne réécrit donc pas l'histoire, et les recherches restent fiables d'une version à l'autre.

02Deux chemins de capture, selon ce qui s'est passé #sec_1dcb577c

Un acte réussi et une tentative refusée n'obéissent pas à la même atomicité.

Pour un acte abouti , l'événement d'audit est écrit dans la même transaction que le changement métier, grâce à une outbox. Si la transaction échoue, ni l'acte ni sa trace de succès ne subsistent. Il devient impossible d'observer un changement durable sans l'entrée d'audit correspondante.

Pour une tentative, un refus ou un échec , la trace suit un chemin autonome. L'acte n'a précisément pas abouti, mais sa tentative peut être importante pour la sécurité. Une reprise garantit qu'elle n'est pas abandonnée silencieusement.

La politique d'échec est déclarée par catégorie d'action. Une opération de sécurité critique peut être refusée si sa trace ne peut pas être garantie. Pour les autres actes, le métier continue et une alerte signale la dégradation. Un échec d'audit n'est donc ni toujours bloquant, ni toujours ignoré : son effet est décidé explicitement.

03Le contenu utile, et seulement lui #sec_8dce8c36

Un événement répond aux questions essentielles : identité de l'acteur, rôle effectif, éventuel acteur d'emprunt, temps UTC, code d'action, résultat, souscription, workspace, campagne, cible, modification, motif, canal et corrélation.

Les paramètres décrivent l'intention ; les modifications décrivent ce qui a réellement changé. L'identité et le libellé de la cible sont figés pour que l'événement reste lisible après le départ d'une personne ou le renommage d'une ressource.

La minimisation reste une règle de preuve : la piste enregistre l'acte, pas une copie générale de la donnée. Les valeurs sensibles sont masquées ou qualifiées. Une consultation de données personnelles, une exportation ou la lecture d'une preuve peut elle-même devenir un événement d'audit.

La visibilité suit le périmètre. L'administrateur de souscription et l'auditeur voient la souscription selon leur mandat ; l'administrateur de workspace ne voit que ce qui concerne son workspace. Le rôle Auditeur demeure en lecture seule : consulter la preuve ne doit pas permettre de piloter le système observé.

04Une chaîne dont l'altération se voit #sec_5a62e85f

Chaque événement possède une séquence, l'empreinte de l'événement précédent et sa propre empreinte calculée sur une forme canonique. Retirer, réordonner ou modifier une entrée rompt la chaîne.

Des sceaux périodiques signent la tête de chaîne. Ils élèvent la garantie au-delà du simple chaînage en séparant la capacité d'écrire la base de celle de signer son état. Un ancrage externe peut renforcer encore cette garantie face à une compromission complète de l'exploitant.

Le rapport de vérification n'affirme jamais plus qu'il ne démontre. Il précise le début de la période garantie, le dernier sceau contrôlé, le nombre d'événements plus récents couverts par le seul chaînage et la présence éventuelle de jalons de purge.

La signature d'un export répond à une autre question : elle atteste que le document correspond à l'extraction produite. Elle ne remplace pas le sceau de la piste. Un export indique donc à quelle tête et à quel sceau il s'ancre.

05Rechercher, exporter, vérifier et conserver #sec_f798b47c

Audit Trail offre quatre lectures complémentaires :

• rechercher par acteur, action, période, périmètre, cible, résultat ou corrélation ;
• restituer un enchaînement compréhensible par un auditeur non technique ;
• exporter de manière incrémentale ou alimenter BEACON ;
• vérifier la continuité, les empreintes et les sceaux dans un rapport reproductible.

Archivage et purge ne se confondent pas. L'archivage déplace les corps d'événements vers un stockage froid tout en laissant la chaîne vérifiable et le contenu rapatriable. La purge détruit le contenu et conserve uniquement les jalons nécessaires pour prouver qu'une suppression légitime, et non une falsification, a eu lieu.

Le socle d'audit — actions de sécurité, habilitations, secrets, tenants, gouvernance de RITA et opérations du module lui-même — est protégé et non désactivable. Les lectures courantes peuvent être échantillonnées lorsqu'elles sont très nombreuses ; les consultations sensibles et les actes critiques ne le sont jamais.

06En résumé #sec_95815aed

Audit Trail transforme l'activité de REVIEWIT en un récit ordonné, minimal et vérifiable. Il lie la trace au succès de l'acte, conserve les tentatives qui échouent, rend toute altération détectable et expose clairement le niveau de garantie réellement atteint.