Qué registra una aplicación

El servidor web registra la petición: dirección, método, ruta, estado y bytes. La aplicación registra lo que hizo con ella: qué cuenta estaba autenticada, qué pedido creó, qué permiso concedió. Por eso la misma acción aparece en las dos fuentes con caras distintas, y por eso un registro de aplicación sin usuario ni objeto es casi un registro de acceso con otro nombre.

Mira la columna usuario de app_log. Un guion significa que la aplicación escribió el evento sin tener una persona identificada. Es normal en un intento de sesión que aún no se autenticó; no lo es en una excepción interna, porque ahí lo que falta es contexto para investigar. Cuenta las líneas con guion y date cuenta de cuáles deberían traer usuario y cuáles no.

Los eventos de administración (cambiar un precio, asignar un rol) son los de mayor valor para detectar. El registro del cambio dice quién lo hizo en usuario y a quién o a qué afectó en el mensaje. Que haya un evento no dice si el cambio estaba autorizado: eso se compara con un ticket o una ventana de cambio, que no está en esta tabla.

Un registro es un archivo que mucha gente puede leer y que se copia al SIEM, a copias de seguridad y a herramientas de soporte. Por eso no debe contener claves, tokens ni datos que la persona no espera que se guarden. El nivel DEBUG suele volcar el cuerpo completo de las llamadas y a veces se deja activo en producción. Recorre app_log y mira qué evento escribió algo que no debería estar ahí.

Encontrar una clave en un registro tiene dos partes: lo que ya pasó y lo que no debe volver a pasar. Lo ya escrito está en archivos que se copiaron y no se pueden dar por borrados con seguridad. Lo que se pide a quien desarrolla es cambiar lo que se escribe, no esconder el archivo.