Journalisation à la périphérie conforme au RGPD et résidence des données dans l'UE

Un WAF est un traitement de données personnelles

On pense à un pare-feu applicatif comme à un outil de sécurité, rarement comme à un traitement de données au sens du RGPD. Pourtant il l’est, sans ambiguïté : pour décider de bloquer ou de laisser passer, il inspecte chaque requête — adresse IP, en-têtes, parfois le corps — et il en journalise le résultat. Adresse IP et identifiants de session sont des données personnelles. Un WAF qui protège un site européen traite donc de la donnée personnelle européenne, et la question « où va cette donnée et qui peut la lire » n’est pas secondaire : elle est au cœur de la conformité.

C’est précisément là que le choix du fournisseur devient un choix de souveraineté. Un edge de sécurité hébergé hors de l’UE, soumis à une juridiction étrangère, expose ces logs à des demandes d’accès que le droit européen n’autorise pas. La résidence des données n’est pas une case marketing : c’est ce qui détermine sous quelle loi vivent vos journaux.

Résidence dans l’UE par conception

Nos nœuds en périphérie tournent dans l’UE (Hetzner, OVH, Scaleway). Ce n’est pas une option premium ni une région à cocher : c’est l’architecture par défaut. Le trafic de vos utilisateurs européens est filtré et journalisé sur des machines situées en Europe, sous droit européen. Il n’y a pas de transfert implicite vers une autre juridiction pour « traiter » ou « analyser » les logs ailleurs.

Cette localisation compte autant pour vos utilisateurs que pour vous. Elle signifie qu’un journal d’accès contenant une adresse IP européenne ne quitte pas l’espace juridique qui le protège.

Les principes RGPD, traduits en mécanismes

La conformité n’est pas une déclaration ; ce sont des mécanismes concrets. Voici comment les grands principes du RGPD se traduisent dans la journalisation périphérique :

• Minimisation. On ne journalise que ce qui sert la sécurité : ce qui a été décidé, sur quelle requête, pourquoi. Pas de collecte tous azimuts « au cas où ».
• Rétention configurable. La durée de conservation des logs est un paramètre, pas une fatalité. Vous alignez la rétention sur votre propre politique et sur votre base légale, au lieu de subir une durée imposée.
• Droit à l’effacement. Quand un utilisateur exerce son droit à l’oubli, il faut pouvoir purger les données qui le concernent. Une journalisation pensée pour le RGPD prévoit ce chemin d’effacement dès la conception.
• Intégrité et traçabilité. Le journal des décisions de sécurité est immuable, en ajout seul. Cette apparente contradiction avec le droit à l’effacement se résout par l’architecture : la piste d’audit de sécurité et les données personnelles effaçables sont traitées comme deux registres distincts, avec des règles de cycle de vie propres.

L’audit immuable : une garantie, pas une contradiction

Un journal d’audit en ajout seul — dont les entrées ne peuvent être ni modifiées ni supprimées après coup — est exactement ce qu’un régulateur ou un auditeur attend pour établir ce qui s’est réellement passé lors d’un incident. C’est la différence entre « nous pensons avoir bloqué l’attaque » et « voici l’enregistrement horodaté et inaltérable de chaque décision ». Cette rigueur sert la sécurité et la conformité en même temps ; elle sous-tend aussi le patch virtuel et la limitation contre le bourrage d’identifiants, où la trace vérifiable est essentielle à la réponse à incident.

Séparer les registres pour tenir les deux promesses

La tension apparente — journal immuable et droit à l’effacement — se règle en distinguant deux choses : la piste d’audit des décisions de sécurité, conçue pour être inaltérable, et les données personnelles rattachables à un individu, conçues pour être purgeables. Un WAF pensé pour le RGPD ne choisit pas entre les deux : il les gère séparément, avec des politiques de rétention et d’effacement adaptées à chacune.

Ce que nous ne prétendons pas

La conformité au RGPD est une responsabilité partagée, pas un label qu’un fournisseur pose à votre place. Nous fournissons la résidence UE, la rétention configurable, le chemin d’effacement et l’audit immuable ; c’est à vous de définir votre base légale, votre durée de conservation et vos réponses aux demandes d’exercice de droits. Nous n’affichons pas de badge de certification comme un argument de vente : la conformité se démontre par des mécanismes vérifiables, pas par un logo.

Vous voulez savoir où vivent vos logs et sous quelle loi ? Lisez notre engagement de confiance ou donnez-nous votre domaine.