La traçabilité d'une procédure se mesure à deux choses : si tout ce qui se passe est enregistré, et si l'enregistré peut être altéré a posteriori. Les journaux append-only avec chaînage de hashes résolvent élégamment les deux dimensions : chaque action est journalisée, et toute modification ultérieure produit une incohérence mathématique détectable immédiatement.
Append-only : enregistrements qui ne se réécrivent pas
Append-only signifie qu'on n'autorise que l'ajout d'entrées, jamais la modification ou la suppression des existantes. Si une entrée était erronée, on la corrige par une nouvelle entrée qui rectifie la précédente, en laissant l'historique intact. C'est une décision architecturale simple dont la conséquence probante est énorme : le journal reflète littéralement ce qui s'est passé, sans réinterprétations ultérieures.
Chaînage par hashes
Chaque entrée inclut, en plus de son contenu, le hash de l'entrée précédente. Si quelqu'un tentait de modifier une entrée ancienne sans plus, le hash que l'entrée suivante a stocké ne coïnciderait plus et la chaîne se romprait. Altérer l'historique exigerait de recalculer tous les hashes ultérieurs, une opération détectable parce que des copies antérieures du journal seraient déjà publiées ou sauvegardées.
Ce qui est enregistré exactement
- Qui (utilisateur et rôle) a effectué l'action.
- Quand (timestamp avec horodatage).
- Quel type d'action (création d'un bien, modification, clôture des préférences, tirage, attribution...).
- État antérieur et postérieur, le cas échéant, en format compact.
- Hash de l'entrée précédente, fermant la chaîne.
Vérification périodique
Une routine automatique parcourt le journal périodiquement et valide la chaîne de hashes. Toute rupture remonte comme incident immédiat. Pour une rigueur maximale, une empreinte globale du journal (root hash) est publiée quotidiennement dans un registre externe (par exemple un ancrage dans une chaîne publique ou un horodatage qualifié), de sorte que même l'opérateur de la plateforme ne puisse réécrire l'historique sans que cela soit détectable.