Le Journal d'activité est l'historique propre à chaque site de ce qui a été fait et par qui : chaque sauvegarde effectuée, version PHP modifiée, domaine ajouté, cache purgé, clé SSH installée et mot de passe réinitialisé, dans une liste antéchronologique que vous pouvez parcourir en quelques secondes.
Où se trouve le journal d'activité
Ouvrez Sites web, cliquez sur le site, ouvrez le groupe Vue d'ensemble dans le menu de gauche du site, puis choisissez Activité. La page s'intitule Journal d'activité et se décrit elle-même comme les actions récentes effectuées sur ce site.
Il n'existe pas d'élément Activité de premier niveau dans le menu latéral principal. Le journal est limité à un seul site, ce qui en fait tout l'intérêt : il ne mélange pas les modifications apportées à vos autres sites, à votre facturation ou à vos boîtes mail.
Lire une entrée
Chaque ligne comporte quatre parties :
- Une vignette avec icône, dont la couleur correspond au type d'action. Les suppressions et désactivations sont en rouge avec une icône de corbeille, les créations et activations sont en vert avec un signe plus, les mises à jour et modifications de configuration sont en orange avec un crayon, et les connexions, événements d'authentification unique et restaurations sont en bleu avec une clé.
- Un libellé en langage clair, tel que Version PHP modifiée, Sauvegarde créée, Domaine personnalisé ajouté ou Connexion SSO administrateur WP.
- Une pastille de détail lorsqu'il y a quelque chose de précis à afficher, par exemple les anciennes et nouvelles versions PHP, l'adresse IP qui a été bloquée, ou le nom de la clé SSH qui a été ajoutée.
- L'auteur et l'horodatage, à droite.
La pastille de détail est ce qui rend le journal réellement utile lors d'une investigation. URL du site mise à jour seul ne vous apprend pas grand-chose ; URL du site mise à jour accompagné de oldvalue to newvalue vous dit tout.
Qui a fait quoi
La ligne d'auteur sous chaque libellé indique le nom de l'utilisateur KPanel qui a effectué l'action, ou son adresse e-mail s'il n'a pas défini de nom.
Les actions automatisées sont attribuées à System. Les sauvegardes planifiées, les renouvellements automatiques de SSL, les mises à jour automatiques déclenchées par cron et autres sont toutes des entrées System. Si vous voyez une modification attribuée à une personne qui affirme ne pas l'avoir effectuée, traitez cela comme une connexion compromise et suivez les étapes de Sécurité du compte et de Authentification à deux facteurs.
Les entrées sont écrites par la plateforme, pas par vous, et il n'existe aucun moyen de modifier ou de supprimer une entrée depuis le panneau. C'est tout l'intérêt : une piste d'audit que l'on peut réécrire n'est pas une piste d'audit.
Ce qui est enregistré
Le journal couvre l'ensemble du site, pas seulement un domaine en particulier. En gros :
| Domaine | Exemples |
|---|---|
| Cycle de vie du site | Site créé, site supprimé, paramètres du site mis à jour |
| Accès | Authentification unique administrateur WordPress, authentification unique phpMyAdmin, clé SSH ajoutée, utilisateur SFTP créé |
| Sauvegardes | Sauvegarde créée, restauration de sauvegarde demandée, planning de sauvegarde mis à jour |
| Domaines et SSL | Domaine personnalisé ajouté ou supprimé, domaine activé, certificat SSL renouvelé |
| PHP et serveur | Version PHP modifiée, paramètres PHP mis à jour, PHP-FPM rechargé, journal des requêtes lentes activé ou désactivé |
| Mise en cache | Cache Redis activé ou désactivé, cache de page complet purgé, cache d'URL purgé |
| Sécurité | Adresse IP bloquée, règles d'accès par pays mises à jour, blocage XML-RPC activé ou désactivé, verrouillage après échec de connexion activé, protection par mot de passe du site activée |
| Opérations WordPress | Utilisateurs créés et supprimés, rôles modifiés, permaliens mis à jour, extensions et noyau mis à jour automatiquement, .htaccess enregistré, révisions supprimées |
| WooCommerce | Passerelle modifiée, statuts de commande mis à jour en masse, devise mise à jour, stock mis à jour |
| Déploiements et environnements | Environnement de préproduction créé et synchronisé, mise en production, déploiement de prévisualisation créé et détruit |
| Fichiers | Fichier enregistré, renommé ou supprimé, base de données exportée ou importée |
Si une action ne dispose pas encore d'un libellé convivial, le nom brut de l'action est affiché plutôt que de masquer l'entrée. Rien n'est écarté simplement parce que c'est nouveau.
Actualisation
La liste est chargée à l'ouverture de la page et ne s'actualise pas automatiquement. Cliquez sur Actualiser en haut à droite pour récupérer les dernières entrées après avoir effectué une modification dans un autre onglet.
La page charge les 100 entrées les plus récentes. Les activités plus anciennes sont conservées, mais le panneau ne les pagine pas au-delà de cette fenêtre. Si vous devez donc reconstituer quelque chose datant de plusieurs mois, ouvrez un ticket et demandez au support de récupérer le registre d'audit : voir Ouvrir un ticket d'assistance.
Utiliser le journal en pratique
Après une panne
Commencez par là avant de vous lancer dans des suppositions. Ouvrez le journal, regardez les entrées juste avant le moment où le site a commencé à mal fonctionner, et vous trouverez généralement la cause dès le premier écran : une version PHP modifiée, une extension mise à jour automatiquement, un .htaccess enregistré, un paramètre de cache basculé.
C'est plus rapide que de lire les journaux d'erreurs, car le journal d'activité vous indique ce qui a changé plutôt que le symptôme observé. Une fois que vous avez un suspect, Journaux d'erreurs vous indique précisément comment la panne s'est produite.
Après une passation
Lorsque vous reprenez un site géré par quelqu'un d'autre, le journal d'activité constitue le briefing le plus rapide possible sur la façon dont il a été géré : si des sauvegardes sont effectuées, si les mises à jour sont automatiques ou manuelles, si quelqu'un s'est connecté en SSH, si les fonctionnalités de sécurité sont activées.
Comme contrôle de sécurité
Deux schémas méritent une attention particulière :
- Les clés SSH et utilisateurs SFTP que vous ne reconnaissez pas. Les deux sont enregistrés avec le libellé sous lequel ils ont été créés. Vérifiez-les en les comparant à Ajouter des clés SSH à un site et révoquez tout ce qui vous est inconnu.
- Les connexions par authentification unique à des heures inhabituelles. Chaque authentification unique administrateur WordPress et phpMyAdmin est enregistrée avec l'utilisateur qui l'a initiée.
Prenez une capture d'écran des lignes concernées avant de commencer les corrections. Les entrées restent dans le journal, mais une capture d'écran avec les horodatages visibles est bien plus facile à joindre à un ticket d'assistance qu'une description de mémoire.
Ce que le journal ne montre pas
- Les modifications effectuées en dehors de KPanel. La modification d'un fichier via SFTP n'est enregistrée comme opération sur fichier que si elle est passée par le gestionnaire de fichiers du panneau. Les interventions directes via SSH ne sont pas détaillées, même si l'existence d'une clé est enregistrée.
- Le trafic des visiteurs. Pour cela, utilisez l'onglet Analytique du site.
- Les événements au niveau applicatif à l'intérieur de WordPress. Les actions d'extensions effectuées depuis
wp-adminrelèvent de WordPress, pas de la plateforme, sauf si elles ont été déclenchées depuis KPanel.
Où aller ensuite
- Journaux d'erreurs pour le détail des pannes derrière une modification.
- Paramètres du site pour les options de maintenance et de HTTPS qui apparaissent ici comme des mises à jour de paramètres.
- Effectuer une sauvegarde avant d'apporter une modification que vous pourriez vouloir annuler.