Récapitulatif du journal d'audit

Réponse exemple

{
  "hours": 24,
  "anomalies": [
    {
      "kind": "repeated_failures",
      "detail": "6 échecs sur transfer.download sur 24h"
    }
  ],
  "top_actors": [
    {
      "count": 58,
      "actor_id": "f3a1c0d2-7b44-4e9a-9c11-2a8e6b5d4f01"
    },
    {
      "count": 37,
      "actor_id": "8d2e4a91-3c67-4b22-a0f5-1e9c7d3b6a44"
    },
    {
      "count": 14,
      "actor_id": "anonymous"
    }
  ],
  "top_actions": [
    {
      "count": 61,
      "action": "api.get.workspace"
    },
    {
      "count": 29,
      "action": "transfer.download"
    },
    {
      "count": 18,
      "action": "dataroom.viewer.invite"
    },
    {
      "count": 12,
      "action": "api.post.transfers"
    },
    {
      "count": 7,
      "action": "policy.update"
    }
  ],
  "total_events": 142
}

Cet endpoint lit le journal d'audit du workspace courant et renvoie un résumé agrégé plutôt que la liste brute des événements. Il compte tous les événements survenus depuis hours heures (24 par défaut), puis calcule le total d'événements, le top 5 des acteurs (par identifiant), le top 5 des actions (par type), et une liste d'anomalies détectées. La détection d'anomalies signale toute action ayant cumulé au moins 5 événements en statut failure ou denied sur la fenêtre, ce qui permet de repérer rapidement des tentatives répétées qui échouent (brute force, scope manquant, accès refusé). Le workspace est déterminé par la clé API utilisée : vous ne pouvez consulter que le journal du workspace lié à votre credential.

Authentification

Requiert une clé API valide portant le scope audit:read. La clé doit être transmise via l'en-tête Authorization: Bearer cof_live_... (ou cof_test_..., cof_rk_..., cof_mcp_...). Si le scope audit:read est absent des permissions de la clé, la requête est rejetée avec une erreur scope_missing.

Paramètres de requête

Réponse

La réponse est un objet JSON contenant : hours (la fenêtre effectivement appliquée après bornage) ; total_events (nombre total d'événements d'audit sur la fenêtre) ; top_actors, un tableau d'au plus 5 objets { actor_id, count } triés par fréquence décroissante (les événements sans acteur sont regroupés sous actor_id: "anonymous") ; top_actions, un tableau d'au plus 5 objets { action, count } triés par fréquence décroissante (les actions sans libellé apparaissent sous "unknown") ; et anomalies, un tableau d'objets { kind, detail }. Chaque anomalie a pour kind la valeur repeated_failures et un detail textuel en français indiquant le nombre d'échecs et l'action concernée sur la fenêtre.

Erreurs

Voir aussi

• GET /v1/workspace — informations générales sur le workspace lié à la clé.
• GET /v1/audit — accès aux événements d'audit détaillés (le cas échéant), pour analyser les anomalies remontées ici.
• Documentation des scopes API et des limites de débit : https://docs.coffrify.com/api/rate-limits