Audit trail : qui a fait quoi, quand, et pourquoi vous pouvez croire la réponse
Comment des events append-only, une couche de revue écrite pour des humains et une hash chain tamper-evident transforment « je crois que » en preuve.
Un audit trail que l’on peut modifier n’est pas un audit trail. C’est un document de travail qui a mis un costume. ReVend OS est construit pour que l’activité critique puisse être reconstruite plus tard : qui a agi, ce qui a changé, quel record a été touché, et si la trail elle-même s’aligne encore.
Activity events
Les mutations côté serveur, les lectures sensibles, les accès aux documents, les téléchargements d’evidence, les résultats de crons, les retours de webhooks, les overrides admin et les security events écrivent des activity rows. Elles portent l’acteur, le tenant, l’action, l’outcome, la sensibilité et des métadonnées bornées. Les secrets bruts, les mots de passe, les signed URLs et les données de paiement n’y ont pas leur place. Le sanitizer aide, mais la vraie stratégie consiste à ne pas mettre de choses dangereuses dans la boîte.
Chaîne tamper-evident
Les audit events sont chaînés par tenant avec un hash SHA-256, à partir d’une ligne GENESIS. Chaque nouvel event inclut la tête précédente, donc une modification silencieuse casse la chaîne, et une routine de vérification peut la parcourir. Cela ne transforme pas à soi seul la base de données en salle d’audience, mais cela donne à la plateforme un moyen de détecter que l’histoire ne correspond plus à elle-même. Les auditeurs aiment l’historique qui soutient le regard.
La page de revue se lit comme une phrase
/general/activity est la vue destinée aux humains, et elle mène avec du langage humain : chaque ligne s’ouvre sur un résumé en clair de ce qui s’est passé, pas sur un statut machine. Ce même résumé est la première ligne du panneau de détail, de l’export CSV et des petits panneaux d’activité récente sur les autres écrans. Source, corrélation et métadonnées supplémentaires restent disponibles là où elles ajoutent du sens ; des métadonnées vides et des IDs de ressource dupliqués ne sont pas du détail produit.
Les filtres gardent la réponse utilisable au lieu de transformer l’écran en confettis : recherche, domaine, action, outcome, sensibilité, visibilité, table source, plage de dates, et organisation là où le scope plateforme l’autorise. L’export CSV pose d’abord la question — la page courante, ou tout ce qui correspond à vos filtres — et le second exige une plage de dates, pour qu’un export ne parte pas par accident chercher l’historique entier.
Le platform staff la lit à travers les tenants, et dispose aussi d’une page activité côté admin. Les tenant admins voient leur propre tenant, lignes sensibles comprises, mais jamais les lignes réservées à la plateforme. Les utilisateurs tenant ordinaires voient l’entrée de menu et aucune donnée : la page leur dit que l’activity log est réservé aux tenant admins, ce qui vaut mieux qu’un 404 faisant semblant qu’elle n’existe pas.
Regarder n’est pas faire
Un chargement de page ordinaire n’est pas une action métier. Ouvrir une route, rafraîchir, chercher, trier, paginer, changer d’onglet, ouvrir une modale, modifier un filtre — rien de tout cela n’écrit d’activité, parce que rien de tout cela ne change une donnée, un statut, un droit, une preuve, de l’argent, une publication, un dossier de support, une posture de sécurité ou le comportement d’une intégration. Une trail qui journalise le fait de regarder enterre la trail qui journalise le fait de faire.
Les lectures réellement sensibles, c’est autre chose : le contexte plateforme cross-tenant, les accès aux documents, les pièces jointes de support et l’historique des bids tiré via l’API sont enregistrés comme lectures sensibles — dédoublonnés, ou remontés à travers une lentille evidence — plutôt que comme du bruit « page consultée ».
Le regroupement est de la présentation, pas de la suppression
Des events système et runtime consécutifs, peu informatifs, partageant scope, sens, outcome et ressource peuvent être regroupés dans la couche de revue en une seule ligne avec un compteur et une plage de temps. Les lignes individuelles restent dans le panneau de détail, et l’export CSV les écrit toujours une par une. Les actions métier humaines ne sont jamais repliées, aussi semblables soient-elles. Deux personnes qui font deux fois la même chose, c’est un fait, pas un doublon.
Ce que vérifie l’auditeur
La trail prouve l’intégrité, la paternité, la chronologie et la complétude. Si un record a bougé, ReVend doit montrer qui l’a bougé, quand, pourquoi c’était permis, et quelle preuve l’accompagnait. Si la réponse est « sans doute Dave », l’audit s’est déjà mal passé.