A trilha de auditoria

Camada funcional

Um registro que não pode ser alterado depois — nem por quem administra o sistema. Serve às situações em que o registro precisa ter valor probatório: auditoria formal, exigência regulatória, disputa sobre o que foi decidido e quando.

É diferente da trilha operacional, que responde "quem chamou o que" no dia a dia. Aquela serve para investigar; esta serve para provar.

Onde o "não pode ser alterado" é imposto

A distinção que faz essa frase valer alguma coisa: a garantia não está no código da aplicação — está no próprio armazenamento, uma camada abaixo de tudo que o produto executa.

O que isso significa na prática:

• Só dá para acrescentar. Não existe caminho que altere, apague ou esvazie um registro já gravado, e a tentativa é recusada onde o dado mora, não onde o pedido chega.
• Só por uma porta. Gravar passa sempre pelo mesmo caminho controlado; escrever direto não é uma opção que exista, nem para quem tem a credencial mais privilegiada do sistema.

Ou seja, "nem quem administra consegue alterar" não é uma política que alguém pode reverter num arquivo de configuração. Vale enquanto o armazenamento for o que é — e é por isso que a seção sobre o limite da âncora, mais abaixo, fala do único cenário em que essa garantia deixa de bastar.

A cadeia, e por que ela vale mais que a tabela

Cada evento carrega o resumo criptográfico do evento anterior, formando uma corrente por organização que começa num ponto de origem conhecido.

O efeito é o que interessa: remover ou alterar um evento no meio quebra a corrente de um jeito detectável. É o que transforma "confie no banco" em "verifique você mesmo" — e a tela tem um botão para essa verificação, que é o que dá sentido a todo o resto.

A ancoragem diária

Uma vez por dia, de madrugada, o topo da corrente de cada organização é assinado, e essa marca fica gravada de forma imutável. Rodar duas vezes no mesmo dia não duplica nada.

Por que ancorar, se a corrente já encadeia: sem a âncora, alguém com poder suficiente poderia reescrever a corrente inteira de forma consistente — e uma corrente consistente do começo ao fim não denuncia nada. A assinatura periódica congela pontos no tempo: a corrente só é válida se bater com as âncoras já assinadas.

O limite disso, dito com todas as letras

A assinatura é simétrica: a mesma chave assina e verifica, e ela é da própria plataforma.

Isso prova integridade a quem já confia no operador. Não prova, a um terceiro adversarial, que o operador não reescreveu a própria trilha. Provar isso exigiria uma assinatura que qualquer um pudesse conferir sem ter a chave, ou publicar a marca fora daqui — e nenhuma das duas existe hoje.

Dizemos isso porque, num módulo cujo valor é prova, a distinção entre "verificável por quem confia" e "verificável por quem desconfia" é exatamente a que importa saber antes de prometer.

Três cuidados que evitam alarme falso

• Uma âncora por topo. Duas execuções simultâneas da rotina não geram âncora duplicada — a segunda trata o caso como já ancorado.
• O horário é normalizado antes de assinar. Sem isso, o mesmo instante devolvido em outro formato produziria uma "violação" que não existe.
• Chave trocada não vira acusação. Cada âncora guarda a impressão digital — não secreta — da chave que a assinou. Depois de uma troca, âncoras cuja chave não está mais disponível são reportadas como não verificáveis, nunca como violadas.

A terceira é a mais madura das três: distinguir "não consigo verificar" de "foi adulterado" é exatamente o que separa uma trilha útil de uma que grita lobo.

O que fica registrado

Todo evento entra numa de seis categorias: ciclo de vida de um ativo, decisão de entrada em produção, mudança na configuração de avaliação, acesso administrativo, segurança, e uma última para o que não se encaixa.

E todo evento nomeia quem foi: pessoa, agente, chave de API, sistema ou serviço. Poder registrar que o autor foi um agente é essencial num produto onde parte das ações não tem pessoa por trás.

As evidências anexadas ficam num armazenamento privado dedicado, separado do registro textual — o que permite anexar prova sem inchar a trilha.

Por quanto tempo fica guardada

A política de retenção tem três campos:

Como a trilha é somente-acréscimo e a exclusão está bloqueada, o piso funciona como limite para qualquer ferramenta futura de expurgo — ele não apaga nada hoje.

Esta tela não segue o controle de acesso da governança — segue o papel na organização. Ver a configuração de retenção depende de ser membro; alterá-la depende de administrar.

Vale dizer isso em voz alta porque a página de acesso mostra um quadro em que membro não alcança nenhuma das cinco ações de governança, e as duas coisas parecem se contradizer. Não se contradizem: aquele quadro fala das cinco ações, e ver um prazo de retenção não é nenhuma delas. São dois sistemas de autorização, e cada tela é governada por um.

O que dá para fazer, e onde