Il registro delle attività

Tutto ciò che viene fatto nella tua organizzazione, e ogni tentativo di accedervi, registrato nel momento in cui accade e concatenato in modo che una modifica successiva non possa passare inosservata. Lo trovi alla voce Registro delle attività nel menu laterale.

Cosa viene registrato

Registro	Cosa contiene
Cosa è stato fatto	Le azioni sul prodotto: un modello creato, una versione attivata, una chiave API emessa o revocata, impostazioni modificate. Chi l'ha fatto, su cosa e quando.
Chi ha effettuato l'accesso	Gli accessi, e gli accessi falliti — compresi i tentativi su un indirizzo che non ha un account, che è proprio lo schema che un registro serve a mostrare.

Una firma ha un proprio registro, conservato con la busta e non qui: ogni visualizzazione, codice inviato, firma e rifiuto, con l'indirizzo e il browser. Compare nella pagina del documento e viaggia nel pacchetto di evidenze.

Perché è affidabile

Ogni voce porta l'impronta della voce precedente. Se modifichi una riga, la sua impronta non corrisponde più; se ne elimini una, la riga successiva punta a qualcosa che non c'è; se ne inverti due, si rompono entrambe.

Premi Verifica la catena e l'intera catena viene percorsa, dalla voce più vecchia alla più recente. Il risultato dice che la catena è verificata e quante voci sono state controllate, oppure indica la prima interruzione e dove si trova — solo la prima, perché dopo un'interruzione tutto ciò che segue è comunque non verificabile, e un elenco di duecento conseguenze nasconde l'unica causa.

Di proposito non viene eseguita a ogni caricamento della pagina: legge l'intera catena, e una pagina che rallenta man mano che il registro cresce è una pagina che nessuno apre.

Cosa dimostra, con precisione. Dimostra che nessuno ha modificato, rimosso o riordinato una voce da quando è stata scritta. È evidenza di manomissione (tamper-evidence), non protezione dalla manomissione: chi avesse accesso diretto al server del database potrebbe in teoria ricalcolare un'intera catena. Due cose lo impediscono: i registri sono in sola aggiunta nel database stesso, quindi una normale modifica o cancellazione di una voce viene rifiutata; e una volta al giorno l'anello più recente di ogni catena viene inviato fuori dal server via email, così una catena riscritta dall'inizio non contiene più un anello che era stato copiato prima. Le voci scritte dopo l'ultima copia sono coperte da quella del giorno successivo.

La data ha un terzo testimone, che non siamo noi. Una volta al giorno l'impronta dell'anello più recente (e nient'altro: nessuna voce, nessun nome) viene inviata a un'autorità di marcatura temporale (RFC 3161) e la risposta firmata viene conservata e copiata con il backup giornaliero. Verifica la catena dice allora anche se ogni marca temporale conservata corrisponde ancora a un anello contenuto nella catena. È un'autorità gratuita e non qualificata: una buona prova di quando la catena conteneva quell'anello, non una marca temporale qualificata con presunzione legale di data.

Com'era prima di una modifica

Una modifica a un valore esistente registra com'era e come è diventato: la colonna Variazione della pagina, e le colonne before e after dell'esportazione (in JSON, solo i campi cambiati). Il vecchio valore fa parte dell'impronta della voce, quindi non può essere alterato in seguito senza rompere la catena; una voce scritta prima che questa funzione esistesse non ha queste colonne e si verifica come ha sempre fatto.

Lì non viene scritto nulla di sensibile. Una password, un token, una chiave o un segreto non vengono mai registrati, solo il fatto che sono cambiati; i dati di una persona (un numero di telefono, un indirizzo, un nome, una nota o una motivazione in testo libero) compaiono come [personal data]; un valore lungo viene troncato. Una modifica fatta creando o eliminando qualcosa registra quell'evento, non un prima e un dopo.

Rispondere a una domanda con il registro

Un revisore raramente sfoglia. Fa una domanda — cosa ha fatto questa persona tra queste date?, mostrami ogni modifica a questo modello — perciò la pagina è un filtro e un'esportazione, non una dashboard.

• Che contiene trova un nome, un'azione, un'entità o un indirizzo.
• Dal e Al accettano giorni interi, e Al include il giorno che hai scritto.
• I risultati sono dal più recente, cento per pagina.

Esportarlo

Esporta quello che vedi ti dà un CSV con tutte le righe che corrispondono al filtro — non solo la pagina che stai guardando. Un file che si fermasse in silenzio a cento righe sarebbe un'evidenza con un buco che nessuno ha dichiarato, e qualcuno lo consegnerebbe senza leggerlo.

L'esportazione va dal più vecchio al più recente, perché è l'ordine in cui le cose sono accadute e un revisore legge in avanti. Con essa viaggiano due colonne che vale la pena conservare:

Colonna	Perché è importante
chain_index	La posizione della voce nella catena. I salti hanno un significato.
entry_hash	L'impronta. È ciò che permette in seguito di confrontare il file con il registro vivo — senza, l'esportazione è un elenco di affermazioni; con, è un elenco verificabile.

Per quanto tempo viene conservato

Quanto i record che descrive. Le evidenze di firma sono conservate per dieci anni per impostazione predefinita e la tua organizzazione può scegliere meno, mai di più; i documenti stessi scadono dopo un anno. Quando le evidenze vengono infine eliminate, le voci se ne vanno con loro e sopravvive il fatto che qualcosa esisteva e non è stato alterato.

Chi può vederlo

I coordinatori della tua organizzazione — non gli altri clienti, e non i tuoi utenti ordinari. Anche i nostri operatori della piattaforma possono aprirlo quando lavorano nella tua console per assisterti.

Gli orari della pagina sono scritti nel fuso della tua organizzazione. I filtri Dal e Al contano giorni interi in quel fuso, e l'esportazione CSV scrive ogni orario in quel fuso in formato ISO 8601 con il suo scostamento — lo stesso istante dell'UTC dell'API, così un file può essere confrontato con le sue risposte senza indovinare un fuso.

Il registro nomina colleghi e indirizzi che hanno tentato di accedere: non è una lettura per tutti.