Journaux serveur : ce que votre site sait de ses lecteurs

Vous êtes désormais la partie à qui l'on écrit

Un lecteur qui veut savoir qui a visité votre site ne commence pas par votre hébergeur. Il commence par vous, car vous êtes le seul maillon de la chaîne à avoir un intérêt direct à conserver la trace, une adresse légale à laquelle on peut écrire, et aucun rapport de transparence à publier ensuite.

C'est une phrase inconfortable à écrire pour une société d'hébergement, alors voici le calcul qui la sous-tend. L'inventaire publié ici indique que les journaux d'accès HTTP sont détruits au bout de vingt-quatre heures et qu'aucun historique d'adresses ne subsiste nulle part ensuite. Un serveur web standard, sur une machine louée chez nous, conserve son propre journal d'accès pendant une quinzaine de jours, dans une sauvegarde nocturne pendant un an, et personne n'a choisi ces deux chiffres délibérément. Le choix soigneux de l'hébergeur est annulé par une valeur par défaut que personne n'a lue.

Ce que contient réellement une ligne de journal d'accès

Le format par défaut des deux serveurs web les plus courants n'a pas changé depuis vingt-cinq ans, et presque personne ne le lit comme la trace d'une personne. Cela vaut la peine de le lire ainsi, une fois, car chacun des champs ci-dessous constitue une divulgation distincte, et elles s'additionnent.

Le champ	Ce qu'il indique	Ce qu'il peut identifier
L'adresse du client	L'adresse depuis laquelle la requête est arrivée, en entier	Une ligne d'abonné, rattachable à un foyer ou à un employeur par la partie qui l'a attribuée, et à une ville par quiconque dispose d'une base de données
L'horodatage, à la seconde près	Le moment où la requête est arrivée, avec un décalage de fuseau horaire	Un rythme horaire qui dessine une journée de travail, puis une région, puis une routine
La ligne de requête	La méthode, le chemin complet avec tout ce qui suit le point d'interrogation, et le protocole	Chaque jeton, identifiant de session et lien à usage unique jamais placé dans une URL de votre site
Le code de statut et le nombre d'octets	Si la requête a fonctionné, et ce qui a été renvoyé	Quel document a été servi. Un 200 d'une longueur connue permet d'identifier la page, même quand la connexion était chiffrée
L'adresse de provenance	La page sur laquelle se trouvait le lecteur juste avant	Le lien privé qui lui avait été envoyé, le forum qui parlait de vous et, avec les anciennes adresses de provenance, la recherche qu'il avait effectuée
Le user agent	Navigateur, version, moteur, système d'exploitation, parfois le modèle de l'appareil	Peu de chose à lui seul, et beaucoup une fois combiné — c'est le premier champ de toute empreinte jamais construite
L'utilisateur authentifié	La personne que votre application ou votre authentification de base y a inscrite	Un compte nommé, réuni aux six champs précédents, sur une seule ligne

Sept champs, une ligne, écrite pour chaque requête émise par un navigateur — ce qui représente, pour une seule page vue, généralement entre vingt et quatre-vingts lignes. Rien de tout cela n'a été une décision. Tout cela est une trace.

Neuf endroits où votre propre stack consigne un visiteur

Presque tous les débats sur la journalisation portent sur la première ligne du tableau. C'est celle dont tout le monde sait qu'elle existe, et elle est loin d'être ce qu'il y a de plus révélateur sur la machine.

Où	Ce qu'il enregistre	Combien de temps il survit habituellement
Le journal d'accès	Les sept champs ci-dessus, pour chaque requête	Une rotation que vous n'avez pas choisie. La valeur par défaut la plus courante est de deux semaines
Le journal des erreurs	Les requêtes échouées et refusées, avec l'adresse, l'URL complète et, souvent, la page de provenance	La même rotation, et personne ne l'a jamais ouvert
Le journal applicatif	Tout ce que votre framework a jugé digne d'une ligne : identifiants de compte, adresses e-mail, parfois un corps de requête entier	Jusqu'à ce que le disque soit plein, dans un grand nombre d'installations
Le journal de la base de données	Les requêtes lentes, textuellement, paramètres compris	Jusqu'à ce que quelqu'un remarque qu'il est activé
Le journal de messagerie	Chaque adresse à laquelle vous avez envoyé un message, chaque adresse dont l'envoi a échoué, et l'instant de chaque tentative	Une rotation, plus tout ce qui reste bloqué dans la file d'attente
Le proxy ou le CDN en amont	La même requête, à nouveau, chez une autre société, avec l'adresse réelle déplacée dans un en-tête	La conservation appliquée par cette société, qui n'est pas la vôtre et n'est pas publiée sur votre page de confidentialité
L'analytique	Une visite, une adresse, un écran, une adresse de provenance et un parcours ordonné sur le site	Des mois par défaut, des années si la valeur par défaut n'a pas été modifiée
Le traqueur d'erreurs	Une trace de pile, l'adresse à l'origine de l'erreur, et tout ce qui se trouvait dans le contexte au moment où elle s'est produite	Ce que couvre votre forfait
Chaque sauvegarde des huit éléments ci-dessus	Tout cela, à nouveau, figé au moment où l'instantané a été pris	La durée de conservation des sauvegardes — systématiquement le chiffre le plus élevé de ce tableau

La dernière ligne est celle qui met en échec la plupart des bonnes intentions. Réduire une rotation de journaux de quatorze jours à un seul jour change ce qui se trouve sur le disque, mais ne change absolument rien à la copie qui a été prise à trois heures du matin et qui sera conservée pendant un an. Supprimer une trace déjà répliquée est un changement d'emplacement, pas une suppression.

Les deux champs qui en disent plus long que l'adresse

L'adresse est le champ dont tout le monde débat, et c'est celui dont la durée de vie utile est la plus courte : elle change, elle est partagée, et sur un réseau mobile elle appartient à un opérateur plutôt qu'à une personne. Les deux champs qui l'accompagnent sont, discrètement, pires.

L'adresse de provenance décrit le lecteur, pas la requête

Elle répond à une question que vous n'avez jamais posée : où se trouvait cette personne un instant plus tôt. Cela peut être le lien d'un document privé qui lui a été transféré, un système de tickets interne, l'aperçu d'un client de messagerie, ou une page d'un site qu'elle ne voudrait pas voir associée au vôtre. Les navigateurs tronquent désormais le chemin lorsque la destination est une autre origine, ce qui aide — mais ne change rien pour les liens à l'intérieur de votre propre site, où le chemin complet est toujours envoyé, et toujours consigné.

Le user agent est le germe d'une empreinte

Seul, il se fond dans la foule. Combiné à une adresse, un en-tête de langue, un ordre de requêtes et un jeu de formats acceptés, il désigne fréquemment un visiteur unique sur plusieurs semaines — sans cookie, sans consentement, et sans que personne ait décidé de suivre quoi que ce soit. C'est le mécanisme qui rend « nous ne conservons que des journaux serveur » une phrase plus faible que ne le croit celui qui la prononce.

Des secrets se retrouvent dans le journal parce qu'ils étaient dans l'URL

C'est la défaillance qui justifie à elle seule la lecture de cette page, car elle est fréquente, silencieuse, et entièrement sous votre contrôle. Tout ce qui suit le point d'interrogation fait partie de la ligne de requête, et c'est la ligne de requête qui est écrite dans le journal.

Les liens de réinitialisation de mot de passe. Un jeton à usage unique placé dans une chaîne de requête est enregistré en clair dans le journal d'accès, dans la sauvegarde de ce journal, et à chaque proxy entre le lecteur et vous.
Les liens d'invitation et de désabonnement. La même forme, mais plus longue à vivre, et généralement sans expiration du tout.
Les identifiants de session transmis dans l'URL. Rares dans le code récent, encore présents dans le code ancien, et une prise de contrôle complète du compte pour quiconque détient le fichier.
Les clés API transmises à un navigateur. Une clé dans une chaîne de requête est une clé dans un journal, une clé dans une adresse de provenance transmise à un tiers, et une clé dans l'historique du lecteur.
Le champ de recherche. Une recherche de site qui se soumet en GET écrit, à côté de l'adresse qui l'a saisie, chaque requête que quiconque a jamais tapée dans votre site.

La correction n'est pas un réglage de journalisation. Déplacez la valeur dans un en-tête ou un corps de requête, que le format par défaut n'enregistre pas, et révoquez tout ce qui a déjà été écrit. Un filtre de journal qui supprime les jetons est une chose de plus à maintenir, et il sera pris en défaut dès que quelqu'un ajoutera un paramètre.

Ce qui peut vous être réclamé, et par qui

Les autres guides de ce site traitent d'instruments juridiques adressés à une société d'hébergement, dans une juridiction choisie à cet effet. L'instrument qui atteint vos propres journaux est plus simple : il vous est signifié là où vous êtes, et l'emplacement de la machine n'entre pas en ligne de compte.

Une demande civile dans votre propre pays. Quelqu'un qui engage une action pour un commentaire, une fuite ou un achat demande à l'exploitant du site ce que celui-ci détient. Cet exploitant, c'est vous, et une quinzaine de journaux d'accès est une chose facile à vous ordonner de produire.
Une demande émanant d'un lecteur. En vertu du droit européen de la protection des données, une personne peut demander ce que vous détenez sur elle, et une adresse est susceptible de constituer une donnée personnelle : la Cour de justice l'a jugé ainsi en 2016 (Case C-582/14), où une adresse dynamique détenue par l'exploitant d'un site était une donnée personnelle dès lors qu'une voie de droit permettant de remonter jusqu'à l'abonné existait. La conservation doit elle aussi être justifiée — Article 5(1)(e) précise qu'elle ne doit pas excéder ce qui est nécessaire, et « c'est comme ça que le colis a été expédié » n'est pas une finalité.
Quiconque compromet la machine. Le lecteur le plus probable de votre journal d'accès n'est pas du tout un tribunal. Les journaux sont rarement chiffrés, rarement surveillés, et presque jamais inclus dans un modèle de menace ; ils se trouvent à un emplacement prévisible sur tout serveur configuré de façon ordinaire.
Quiconque a accès à vos sauvegardes. Une copie hors site est une copie chez une autre société, sous une autre juridiction, soumise à des instruments juridiques que vous n'avez pas lus.

Rien de tout cela n'est un conseil juridique, et cette structure n'est pas votre avocat. C'est la même logique d'inventaire, appliquée à votre bout de la chaîne : ce que vous ne pouvez pas produire ne peut pas vous être réclamé, et tout le reste dépend de quel tribunal pose la question. La façon dont cela se joue du côté de l'hébergeur est exposée dans ce qui se passe réellement quand la police interroge un hébergeur.

Après une telle lecture, le réflexe est de désactiver la journalisation, et c'est la mauvaise décision : un serveur sans journaux ne peut pas être débogué, ne peut pas faire l'objet d'une limitation de débit sensée, et ne peut pas vous signaler qu'il est actuellement en train de se faire compromettre. L'objectif n'est pas le zéro. C'est de garder la partie qui répond à une question opérationnelle, et d'écarter celle qui ne répond qu'à une question sur une personne.

Le changement	Ce qu'il fait	Ce qu'il vous coûte
Tronquer l'adresse au moment de l'écrire	Mettre à zéro le dernier octet d'une adresse v4, ou les quatre-vingts derniers bits d'une adresse v6, directement dans le format du journal, pour que la valeur complète ne soit jamais écrite sur le disque	L'analyse forensique par visiteur, après coup. Le blocage et la limitation de débit fonctionnent toujours, car tous deux agissent sur la requête en direct plutôt que sur le fichier
Raccourcir la rotation délibérément	Un jour pour un site public, conservé parce que vous avez choisi ce chiffre, et non parce qu'un paquet logiciel l'a choisi à votre place	La capacité d'examiner tout ce qui est antérieur à la fenêtre que vous avez choisie
Cesser de journaliser les ressources statiques	Supprime quatre cinquièmes des lignes et aucun sens	Rien. C'est la seule ligne de ce tableau sans compromis
Abandonner l'adresse de provenance	Cesser d'enregistrer où se trouvait le lecteur un instant plus tôt	Savoir quel lien ou quelle discussion vous envoie des lecteurs, une question à laquelle un outil d'analyse peut répondre à la place, avec consentement
Séparer le journal de sécurité du journal d'analyse	Deux fichiers, deux finalités, deux durées de conservation, dont un seul contient des adresses	Vingt minutes de configuration, une bonne fois pour toutes
Ajouter les journaux à la liste d'exclusion des sauvegardes	Empêche l'instantané nocturne de préserver discrètement ce que la rotation vient de détruire	Rien qui vous manquera jamais. Personne n'a jamais restauré une sauvegarde pour lire un vieux journal d'accès

Deux de ces six changements ne coûtent absolument rien et suppriment l'essentiel de l'exposition décrite sur cette page. Le dernier est celui auquel personne ne pense, et c'est la raison pour laquelle les cinq autres restent en deçà de leur promesse.

Les tiers qui journalisent vos lecteurs à votre place

Tout ce qui précède concerne des fichiers sur une machine que vous contrôlez. Un navigateur qui charge votre page ouvre aussi une connexion vers chaque autre origine que la page mentionne, et chacune de ces origines reçoit l'adresse, le user agent, et une adresse de provenance indiquant laquelle de vos pages était en train d'être lue — avant même qu'une bannière de consentement ait reçu de réponse, car la requête est déjà partie.

Une police de caractères servie par quelqu'un d'autre. Une seule ligne dans une feuille de style, et chaque lecteur de chaque page est divulgué à un tiers, pour un fichier que vous pourriez héberger dans le même répertoire que le reste du site.
Une vidéo ou une carte intégrée. Chargée à la simple vue, sur chaque page où elle apparaît, que quelqu'un appuie sur lecture ou non.
Un widget de discussion ou un gestionnaire de balises. Présent sur chaque page par conception, et capable de charger d'autre code que vous n'avez pas vérifié.
Un traqueur d'erreurs. Le plus utile d'entre eux, et le plus révélateur : il existe pour vous envoyer l'état de la session de quelqu'un d'autre.
Un CDN placé devant le site entier. Ce n'est pas un argument contre son usage — c'est un compromis raisonnable — mais c'est une société qui voit chaque requête avant vous, conserve ses propres journaux, et répond à sa propre juridiction.

Auto-héberger les trois premiers représente généralement un après-midi de travail, et cela supprime plus d'observation par des tiers qu'aucun réglage sur votre propre serveur. C'est aussi la partie de cette page qui améliore ce que reçoivent vos lecteurs, plutôt que seulement ce que vous pouvez être sommé de produire, ce qui est la raison de la faire en premier. La liste équivalente, tournée vers votre propre exposition plutôt que celle de vos lecteurs, se trouve dans les neuf éléments qui identifient un site.

Ce que cette structure peut faire, et ce qu'elle ne peut pas

Tracer honnêtement cette limite vaut mieux qu'un mot rassurant, alors la voici, de notre côté.

Nos propres journaux d'accès HTTP sont détruits au bout de vingt-quatre heures, et il n'existe ni historique d'adresses, ni trace de localisation de connexion, ni empreinte qui y survive. La liste complète de ce qui survit est publiée sous forme d'inventaire, et elle compte sept éléments.
Ce qui arrive par voie de procédure judiciaire est comptabilisé dans le rapport de transparence, et ce qu'une ordonnance valide produit réellement est écrit à l'avance, plutôt que décidé sur le moment.
Sur un VPS ou un serveur dédié, les journaux décrits sur cette page se trouvent à l'intérieur de votre système d'exploitation. Nous ne les lisons pas, nous ne les expédions nulle part, et nous ne pouvons pas non plus les configurer à votre place — l'exclusivité du serveur joue dans les deux sens, et c'est précisément le but.
Ce que nous pouvons porter, c'est la couche du dessous : aucune trace d'identité à l'inscription, un règlement on-chain uniquement, et une machine dans une juridiction que vous avez choisie, plutôt que celle où réside l'émetteur de votre carte.

Et voici la phrase pour laquelle cette page existe : choisir un hébergeur en fonction de ce qu'il refuse de conserver, puis conserver soi-même une quinzaine de la même chose, c'est une décision de confidentialité annulée par un fichier de configuration. Les deux moitiés ne demandent pas le même effort. L'une a nécessité une semaine de lecture, l'autre prend un après-midi, et une seule des deux est achevée.

Un audit d'une heure de vos propres journaux

Rien ci-dessous ne nécessite un outil à acheter, et chaque étape vous apprend quelque chose que l'étape précédente n'apprenait pas.

Imprimez une seule ligne de votre journal d'accès, et lisez-la à voix haute, champ par champ, comme le ferait un inconnu.
Listez tous les fichiers de votre répertoire de journaux, puis marquez ceux que vous avez ouverts au cours de l'année passée. Les fichiers non marqués sont un pur passif.
Lisez la configuration de la rotation, et notez le nombre de jours qu'elle conserve réellement, plutôt que le nombre dont vous vous souvenez avoir accepté.
Restaurez la sauvegarde du mois dernier dans un répertoire temporaire, et cherchez-y le journal que vous pensiez supprimé depuis une quinzaine de jours.
Recherchez dans votre journal d'accès les mots token, reset, key, session et password. Tout ce que vous trouvez est un secret déjà écrit sur le disque, qui doit être révoqué, et pas seulement corrigé.
Chargez votre propre page d'accueil avec le panneau réseau du navigateur ouvert, et notez chaque domaine contacté qui n'est pas le vôtre. Chacun est une société qui détient vos lecteurs sous sa propre durée de conservation.
Vérifiez quel en-tête transporte l'adresse réelle derrière votre proxy ou votre CDN, et confirmez si l'origine la consigne. Un CDN n'empêche pas l'origine de journaliser ; il déplace simplement le champ.
Ouvrez l'événement le plus récent de votre traqueur d'erreurs, et comptez combien de détails sur un lecteur réel figurent dans la charge utile.
Fixez délibérément trois durées de conservation — sécurité, analyse, sauvegardes — et notez-les là où la prochaine personne à toucher au serveur les trouvera.
Rédigez l'inventaire : ce qui existe, où, pendant combien de temps, et ce que vous produiriez si une ordonnance valide arrivait demain matin. Si ce document est inconfortable à écrire, c'est l'heure la plus utile de cette liste.

Questions réellement posées

Les journaux serveur sont-ils des données personnelles ?

Fréquemment oui, et l'adresse en est la raison. La Cour de justice de l'Union européenne a jugé en 2016 qu'une adresse dynamique détenue par l'exploitant d'un site constitue une donnée personnelle dès lors qu'une voie de droit permet d'identifier l'abonné, et le même raisonnement est aujourd'hui répandu ailleurs. La conséquence pratique n'est pas une amende, c'est un devoir : ce que vous détenez peut vous être demandé, et ce que vous conservez, vous devez justifier de le conserver.

Combien de temps conserver les journaux d'accès ?

Assez longtemps pour répondre à la question que vous leur posez réellement, qui, pour la plupart des sites, est « que s'est-il passé au cours du dernier jour ou des deux derniers ». La quinzaine par défaut a été choisie par le mainteneur d'un paquet qui n'a jamais vu votre site. Choisissez un chiffre, notez pourquoi, et vérifiez que la sauvegarde ne conserve pas discrètement une copie pendant un an après son expiration.

Faut-il simplement désactiver toute journalisation ?

Non, et c'est la surcorrection la plus courante. Un serveur sans journaux ne peut pas être débogué quand il tombe en panne, et ne peut pas vous signaler qu'il subit une attaque pendant qu'elle se produit. Tronquer l'adresse, abandonner les ressources statiques et raccourcir la fenêtre de conservation supprime presque toute l'exposition tout en laissant le fichier utile.

L'hébergement offshore protège-t-il mes propres journaux de visiteurs ?

Il les protège d'un instrument signifié à la société d'hébergement. Il ne fait rien contre un instrument qui vous est signifié à vous, dans le pays où vous vivez, réclamant ce que vous détenez — et c'est vous qui détenez le système d'exploitation. Déplacer la machine et déplacer l'exploitant sont deux décisions différentes, et une seule des deux s'achète.

Tronquer l'adresse IP suffit-il ?

C'est, à lui seul, le changement le plus efficace, mais il ne suffit pas. Un journal dont l'adresse a été retirée, mais qui garde un horodatage à la seconde près, un chemin complet et un user agent, continue de suivre un visiteur tout au long d'une session, et souvent d'une session à l'autre. Tronquez l'adresse, puis raccourcissez la conservation : la combinaison vaut plus que chacune des deux mesures prise seule.

Qu'en est-il des journaux conservés par mon outil d'analyse ?

Ils vivent en général plus longtemps et sont plus riches que le journal serveur, et si l'outil est hébergé par quelqu'un d'autre, ils se trouvent chez une autre société, sous une autre juridiction. Un outil d'analyse auto-hébergé, avec le masquage d'adresse activé et une durée de conservation que vous fixez délibérément, répond à la même question commerciale avec une fraction de la trace conservée.

Les journaux d'erreurs comptent-ils autant que les journaux d'accès ?

Souvent davantage, et ils reçoivent une fraction de l'attention. Un journal des erreurs enregistre les requêtes qui ont échoué, c'est-à-dire l'endroit où finissent les URL malformées, les identifiants à moitié saisis et les traces de pile contenant de vraies données. C'est aussi le fichier dont la durée de conservation a le moins de chances d'avoir été choisie par quelqu'un.

Quel est le seul changement à faire dès aujourd'hui ?

Excluez le répertoire des journaux de la sauvegarde, puis tronquez l'adresse dans le format du journal. Le premier empêche qu'une suppression déjà configurée soit annulée chaque nuit ; le second supprime le champ qui permet au reste de la ligne d'identifier une personne. Ensemble, ils prennent environ vingt minutes, et ce sont les deux changements que la plupart des gens ne font jamais.

Chaque prix de ce parc de serveurs est publié intégralement, à un seul endroit. Voir le catalogue complet

Journaux serveur et vie privéeVotre hébergeur a cessé de journaliser. Pas votre serveur.