Combien de temps faut‑il garder ses journaux de serveur ?

Les journaux enregistrent chaque visite : l’adresse du visiteur, la page demandée, l’heure. Personne ne les regarde, jusqu’au jour où ils sont la seule source d’information disponible.

À quoi servent‑ils vraiment ?

À trois choses, et seulement trois. Comprendre une panne, comprendre une intrusion, et prouver ce qui s’est passé si quelqu’un le conteste.

Le deuxième cas est le plus important. Après une compromission, les journaux sont ce qui permet de dire par où l’attaquant est entré et ce qu’il a atteint. Sans eux, on nettoie à l’aveugle, et la réinfection survient dans le mois.

Une intrusion se découvre en moyenne bien après son début. Des journaux gardés sept jours ne servent alors à rien.

Combien de temps, concrètement ?

La recommandation de référence en France est de six mois pour les journaux de connexion, ce qui couvre largement le délai de découverte d’un incident.

Beaucoup d’hébergements mutualisés les conservent sept jours par défaut, parfois moins. C’est un réglage, et il vaut la peine d’être vérifié avant d’en avoir besoin.

Le point sur les données personnelles

Une adresse de connexion est une donnée personnelle. La conserver est légitime pour la sécurité, ce qui suppose deux choses : une durée définie à l’avance, et une purge automatique à l’échéance.

Conserver indéfiniment « au cas où » n’est pas neutre : c’est un stock de données personnelles sans base légale, et un risque supplémentaire en cas de fuite.

Ce qu’il faut mentionner

Votre politique de confidentialité doit indiquer que ces journaux existent, pourquoi, et combien de temps ils sont gardés. C’est une phrase, et son absence est le manquement le plus courant que je relève.

Que faire en pratique ?

• Vérifier la durée appliquée par votre hébergeur, qui n’est presque jamais annoncée.
• La porter à six mois si c’est réglable, avec purge automatique ensuite.
• Les sortir du serveur s’ils comptent vraiment : un attaquant efface les journaux de la machine qu’il a compromise.
• L’écrire dans la politique de confidentialité.

Sur le même sujet : Que doit contenir une sauvegarde complète ? · Où stocker ses sauvegardes, et surtout pas où