Un journal d'authentification atteste qu'une séquence technique a eu lieu : telle requête, tel facteur accepté, tel horodatage, tel résultat. Il n'atteste ni l'intention de la personne, ni l'absence de contrainte exercée sur elle, ni le fait qu'elle comprenait l'opération en cours. Cette frontière commande tout le reste — le contenu à enregistrer, les garanties d'intégrité et la durée de conservation.
Ce qu'une ligne établit, élément par élément
Une ligne contient typiquement un horodatage, un compte, une méthode, un résultat, une adresse réseau, un agent utilisateur et un identifiant d'appareil. La portée de chacun est plus étroite qu'on ne le suppose.
- Horodatage : l'heure de l'horloge du système émetteur, pas l'heure réelle, tant que la source de temps n'est pas démontrée.
- Adresse IP : un point de sortie réseau. Elle ne localise pas une personne et se partage entre des milliers d'abonnés.
- Agent utilisateur : une chaîne déclarative, choisie par le client, modifiable à volonté.
- Mention « MFA satisfaite » : une décision prise par le système, pas une observation de ce que la personne a fait devant son écran.
- Identifiant d'appareil : la reconnaissance d'un objet enregistré, sans indication sur son porteur au moment des faits.
La conséquence est structurelle : un journal est le récit que le système fait de lui-même. Sa crédibilité dépend de la démonstration que ce système n'a pas pu être altéré, et non du niveau de détail de ses lignes.
Intégrité et horodatage : les deux conditions préalables
Sans ces deux propriétés, la première objection suffit à clore le débat : un administrateur a pu écrire ce qu'il voulait.
L'intégrité se construit par l'écriture non modifiable — ajout seul, support à écriture unique, chaînage par condensat, signature des lots — et par la séparation des rôles : celui qui administre le système authentifiant ne doit pas pouvoir altérer les traces de ce système. La condition organisationnelle pèse ici autant que le mécanisme cryptographique.
L'horodatage exige une source de temps documentée, une synchronisation surveillée et une référence unique, l'heure universelle. Pour les opérations engageantes, un horodatage électronique qualifié, tel que le prévoient les services de confiance du cadre eIDAS, déplace la charge de la démonstration vers un tiers.
Reste la chaîne de garde : qui a extrait la trace, quand, avec quel outil, et comment démontrer que l'export produit aujourd'hui est identique à celui d'hier. Une copie manuelle dans un tableur ne satisfait aucune de ces exigences.
Ce qui manque presque toujours : le contexte de l'action
Les organisations journalisent le contexte de la session et négligent le contexte de l'acte. C'est l'écart qui fait échouer les dossiers, car la contestation porte sur l'acte.
| Élément | Habituellement présent | Réellement nécessaire en contestation |
|---|---|---|
| Ouverture de session | oui | oui, mais insuffisant seul |
| Facteur employé | oui | oui, avec sa méthode exacte |
| Contenu de l'opération tel que présenté | non | montant, bénéficiaire, périmètre, libellé affiché |
| Rattachement action / session | rarement | identifiant de corrélation partagé |
| Nature de la validation demandée | non | ce que l'utilisateur devait faire pour valider |
| Inscription ou retrait d'un facteur | rarement | oui, au même niveau qu'une élévation de privilèges |
| Révocation de session, changement de coordonnées | partiellement | oui, ce sont les gestes d'un attaquant installé |
La ligne sur les facteurs mérite une insistance particulière. L'inscription d'un justificatif est l'événement le plus lourd de conséquences du cycle de vie d'un compte, et celui qui laisse le moins de traces : sans journal d'enrôlement, rien ne permettra de dater le moment où un attaquant a inscrit le sien.
Journal d'exploitation ou élément destiné à être opposable
Deux objets différents portent le même nom, et les confondre coûte cher.
| Dimension | Journal d'exploitation | Élément opposable |
|---|---|---|
| Finalité | détecter, diagnostiquer, alerter | démontrer devant un tiers |
| Contenu | tout ce qui aide l'analyse | ce qui a été décidé à l'avance |
| Mutabilité | rotation, agrégation, échantillonnage | inaltérable et complet |
| Conservation | dictée par le coût de stockage | dictée par le délai de contestation |
| Accès | large, équipes techniques | restreint, tracé |
| Preuve de son propre état | rarement instrumentée | condition d'admissibilité |
Une supervision bien exploitée ne produit donc pas mécaniquement des éléments opposables, et un archivage probatoire n'a pas la granularité qu'exige la détection. Les deux fonctions coexistent, avec des règles distinctes.
Conservation : l'arbitrage avec le RGPD
Les journaux d'authentification sont des données à caractère personnel : la minimisation et la limitation des durées s'appliquent, ce qui écarte la réponse commode consistant à tout garder indéfiniment. La durée se déduit de l'opération, pas de l'outil — elle correspond au délai pendant lequel celle-ci peut être contestée, ce qui interdit de traiter une connexion ordinaire et la validation d'un engagement sous le même régime.
Une précaution technique s'impose : la pseudonymisation, utile ailleurs, est inopérante ici. Un élément dont la finalité est de rattacher une action à une personne doit rester réidentifiable, sous peine de perdre exactement la propriété recherchée. La protection passe par le cloisonnement des accès, pas par l'anonymisation du contenu.
Ce que NIS2 et DORA rendent concret
NIS2 — directive (UE) 2022/2555 — inscrit la traçabilité dans les mesures de gestion des risques, aux côtés de l'authentification multifacteur ou continue. DORA — règlement (UE) 2022/2554, applicable depuis janvier 2025 — demande au secteur financier de démontrer qu'il maîtrise ses opérations informatiques. Aucun des deux ne prescrit le contenu d'une ligne de journal.
Leur effet pratique est ailleurs : avec des délais de notification courts, la question n'est plus « avons-nous des journaux ? » mais « pouvons-nous produire une reconstitution intelligible dans le délai imparti ». C'est une exigence d'exploitabilité, et elle se teste.
Exercice de production à froid
Le seul test qui vaille se pratique sans prévenir les équipes concernées.
- Choisissez une opération sensible réalisée plusieurs mois auparavant, désignée au hasard.
- Demandez le dossier complet : qui, depuis quelle session, avec quel facteur, sur quel contenu, et par quel enchaînement d'événements.
- Chronométrez. Le délai de production est l'indicateur, pas la présence des données.
- Notez les jointures manuelles : chacune est un point de rupture le jour où le volume augmente ou lorsque la personne qui savait faire s'en va.
- Vérifiez l'intégrité de ce qui a été produit : qui aurait pu modifier ces enregistrements, et comment le démontrer.
- Reprenez la liste des manques et arbitrez : instrumenter, ou accepter le risque par écrit.
Ce qu'un journal ne remplacera jamais
Quand le journal est le seul élément disponible, le débat se déplace du contenu de la trace vers la fiabilité du système qui l'a produite — terrain défavorable, puisqu'il faut alors documenter le dispositif, ses administrateurs, ses mises à jour et ses incidents plutôt que produire un fait.
Un journal ne démontre pas non plus une absence. Il n'établira pas qu'une opération n'a pas été faite, seulement qu'aucune trace n'en a été enregistrée : ce n'est pas la même affirmation.
La sortie consiste à recueillir, au moment de l'acte, un élément d'une autre nature — non la mention qu'un facteur a été accepté, mais la trace qu'une personne a résolu un challenge portant sur cette opération. C'est l'apport de l'authentification cognitive au dossier de preuve, et sa limite reste entière : elle atteste une action volontaire, jamais la compréhension de sa portée ni l'absence de pression extérieure.
FAQ
Un journal signé suffit-il à rendre une trace opposable ?
La signature traite l'intégrité, qui est nécessaire mais pas suffisante. Restent le contenu — porte-t-il sur l'acte contesté ? — la source de temps, la chaîne de garde et la durée de conservation. Une trace intègre mais muette sur l'opération ne démontre rien d'utile.
Faut-il journaliser davantage pour améliorer la valeur probante ?
Rarement. Le défaut habituel n'est pas le volume mais l'absence de jointure entre l'authentification et l'action, et l'absence des événements d'enrôlement. Ajouter du volume sans clé de rapprochement augmente le coût sans améliorer le dossier.
Le journal du fournisseur d'identité suffit-il ?
Il couvre l'ouverture de session et les événements de compte. Il ignore ce qui a été fait dans les applications. La distinction entre authentifier, autoriser et prouver permet de voir quel périmètre reste à instrumenter côté métier.
Aller plus loin : le 4ᵉ facteur cognitif · authentification transactionnelle · traçabilité exigée par NIS2, DORA et le CRA · journaux et RGPD