Journaux d'audit

Cette fonctionnalité fait partie des plans Team & Enterprise.

Les journaux d'audit permettent aux administrateurs d'organisation de consulter facilement les actions effectuées par les membres, y compris les changements de l'appartenance à l'organisation, des paramètres du dépôt et de la facturation.

Accéder aux journaux d’audit

Les journaux d'audit sont accessibles via les paramètres de votre organisation. Chaque entrée de journal inclut :

• Qui a effectué l'action
• Type d'action entreprise
• Une description de la modification
• Localisation et adresse IP anonymisée
• Date et heure de l'action

Vous pouvez également télécharger le journal d'audit complet au format JSON pour une analyse plus approfondie.

Export via API

L'exportation programmatique est disponible à l'adresse suivante :

GET https://huggingface.co/api/organizations/{org}/audit-log/export

Authentifiez-vous avec un jeton d’accès utilisateur ou un jeton de compte de service disposant de l’autorisation Exporter le journal d’audit (org.auditLog.write) pour l’organisation. La réponse est un tableau JSON d’entrées de journal, identique au fichier téléchargé depuis la page de paramètres. Comme pour l’export manuel, l’appel API est enregistré en tant que org.audit_log.export.

L'endpoint est également documenté dans la référence OpenAPI.

Quels événements sont suivis ?

Chaque action possède un nom d'événement au format scope.action (par exemple repo.create, collection.delete). Il s'agit du champ type de chaque entrée de journal et du JSON exporté — utilisez-le pour rechercher ou filtrer les journaux.

Gestion et sécurité des organisations

Les événements Modifications des paramètres ci-dessous ne sont disponibles que pour les actions effectuées après le 16 juin 2026. Les événements antérieurs à cette date utilisent un type d'événement unique org.update_settings. Toute intégration qui filtre ou analyse le champ type de l'événement pour les organisations créées avant le 16 juin 2026 doit gérer les deux.

• Core organization changes — Création, suppression, restauration et renommage.
  • Événements : org.create, org.delete, org.restore, org.rename
• Settings changes — Les modifications des paramètres sont enregistrées en tant qu'événements granulaires org.settings.* , afin de pouvoir identifier précisément quel paramètre a été modifié.
  • Paramètres généraux — Profil, régions de stockage, groupes de ressources et contrôle des éditeurs.
  • Événements : org.settings.profile, org.settings.regions, org.settings.resource_groups, org.settings.publisher_gating
  • Fournisseurs d'inférence — Configuration du fournisseur, ajout/suppression de la clé API et paramètres d'utilisation.
  • Événements : org.settings.inference_providers, org.settings.inference_providers.keys.add, org.settings.inference_providers.keys.remove, org.settings.inference_providers.usage
  • SSO — mises à jour de la configuration SSO, et activation ou désactivation de SSO.
  • Événements : org.settings.sso, org.settings.sso.enable, org.settings.sso.disable
  • Sécurité — Visibilité par défaut des dépôts, et activation ou désactivation de l’application de la double authentification, de l’adhésion automatique et de la confidentialité des membres.
  • Événements : org.settings.security.repo_visibility, org.settings.security.2fa.enable, org.settings.security.2fa.disable, org.settings.security.auto_join.enable, org.settings.security.auto_join.disable, org.settings.security.members_privacy.enable, org.settings.security.members_privacy.disable
  • Network — Mises à jour de la configuration du réseau, ainsi que l’activation ou la désactivation de la restriction d’accès IP et de l’application de l’authentification.
  • Événements : org.settings.network, org.settings.network.ip_restriction.enable, org.settings.network.ip_restriction.disable, org.settings.network.auth_enforcement.enable, org.settings.network.auth_enforcement.disable
• Security management
  • Rotation des jetons d'API d'organisation.
  • Événement : org.rotate_token
  • Système d'approbation des jetons — Activation ou désactivation de la politique, demandes d'autorisation, approbations, refus et révocations.
  • Événements : org.token_approval.enabled, org.token_approval.disabled, org.token_approval.authorization_request, org.token_approval.authorization_request.authorized, org.token_approval.authorization_request.revoked, org.token_approval.authorization_request.denied
  • SSO — Connexions et inscriptions via SSO.
  • Événements : org.sso_login, org.sso_join
• Join settings — Accès basé sur le domaine et configuration d'adhésion automatique.
  • Événement : org.update_join_settings

Membres et contrôle d'accès

• Member lifecycle — Ajout et suppression de membres, changements de rôle et départs de membres de l'organisation.
  • Événements : org.add_user, org.remove_user, org.change_role, org.leave
• Account type — Conversion d'un membre en collaborateur externe, ou retour au statut de membre.
  • Événement : org.change_account_type
• Invitations — Envoi d'invitations, liens d'invitation par e-mail et acceptation des invitations par les utilisateurs.
  • Événements : org.invite_user, org.invite.accept, org.invite.email
• Automatic joins — Inscriptions via domaine d'e-mail vérifié ou « demander un accès ».
  • Événements : org.join.from_domain, org.join.automatic

Comptes de service

• Service account lifecycle: Création et suppression des comptes de service.
  • Événements : org.service_account.create, org.service_account.delete
• Service account tokens: Création, suppression, rotation et mise à jour des jetons (nom, autorisations, exemption de sécurité réseau), ainsi que génération et révocation des identifiants S3 associés à un jeton.
  • Événements : org.service_account.token.create, org.service_account.token.delete, org.service_account.token.rotate, org.service_account.token.update, org.service_account.token.s3_credential.create, org.service_account.token.s3_credential.delete

Applications OAuth

• OAuth app management — Création, mises à jour (nom, URL, étendues ou expiration des jetons) et suppression des applications OAuth appartenant à l'organisation, y compris son application Token Exchange, et transferts d'une application personnelle d'un membre vers l'organisation. Les modifications de logo ne sont pas enregistrées.
  • Événements : oauth.app.create, oauth.app.update, oauth.app.delete, oauth.app.move
• Client secret — Rotation du secret client (ou ajout d'un secret à une application publique), suppression du secret et expiration du secret par Hugging Face.
  • Événements : oauth.app.secret.rotate, oauth.app.secret.delete, oauth.app.secret.expire
• Token issuance — Jetons émis aux membres via l’application Token Exchange de l’organisation.
  • Événement : oauth.token

Gestion du contenu et des ressources

• Repository administration — Création, suppression, déplacement, désactivation/réactivation, paramètres de duplication, suppression de DOI, affectation de groupe de ressources et paramètres généraux du dépôt (visibilité, gating, discussions, etc.). Suppression des fichiers LFS également.
  • Événements : repo.create, repo.delete, repo.move, repo.disable, repo.removeDisable, repo.duplication, repo.delete_doi, repo.update_resource_group, repo.update_settings, repo.delete_lfs_file
• Collections — Création et suppression de collections.
  • Événements : collection.create, collection.delete
• Repository security — Secrets et variables (ajout, mise à jour et suppression individuels ou en masse).
  • Événements (secrets) : repo.add_secret, repo.update_secret, repo.remove_secret, repo.add_secrets, repo.remove_secrets
  • Événements (variables) : repo.add_variable, repo.update_variable, repo.remove_variable, repo.add_variables, repo.remove_variables
• Spaces configuration — Modifications de la couche de stockage, mises à jour du matériel (flavor) et ajustements du temps de veille.
  • Événements : spaces.add_storage, spaces.remove_storage, spaces.update_hardware, spaces.update_sleep_time

Groupes de ressources

• Resource group administration — Création, suppression et modification des paramètres.
  • Événements : resource_group.create, resource_group.delete, resource_group.settings
• Resource group members — Ajout et suppression d'utilisateurs, ainsi que modifications de rôles.
  • Événements : resource_group.add_users, resource_group.remove_users, resource_group.change_role
• Resource group invitations — Inviter des utilisateurs extérieurs à l'organisation à un groupe de ressources et révoquer ces invitations.
  • Événements : resource_group.invite_user, resource_group.invite.revoke

Jobs et Jobs planifiés

• Jobs — Création (par exemple sur un Space) et annulation de tâches.
  • Événements : jobs.create, jobs.cancel
• Scheduled jobs — Création, suppression, reprise, suspension et déclenchement d'exécutions.
  • Événements : scheduled_job.create, scheduled_job.delete, scheduled_job.resume, scheduled_job.suspend, scheduled_job.run

Facturation et intégration cloud

• Payment and customers — Mise à jour, association et suppression des moyens de paiement ; création de comptes clients.
  • Événements : billing.update_payment_method, billing.create_customer, billing.remove_payment_method
• Cloud marketplaces — Liaison/dé liaison et approbation du marketplace pour AWS et GCP.
  • Événements : billing.aws_add, billing.aws_remove, billing.gcp_add, billing.gcp_remove, billing.marketplace_approve
• Subscriptions — Démarrage, renouvellement, annulation, réactivation et mise à jour des abonnements (y compris les détails du plan et du contrat).
  • Événements : billing.start_subscription, billing.renew_subscription, billing.cancel_subscription, billing.un_cancel_subscription, billing.update_subscription, billing.update_subscription_plan, billing.update_subscription_contract_details

Référence des événements

La liste ci-dessus couvre tous les types d’événements affichés dans l’interface utilisateur et l’export du journal d’audit. Les noms d’événements suivent le motif scope.action ; les domaines incluent org, repo, collection, spaces, resource_group, jobs, scheduled_job, oauth et billing. L’action d’export elle-même est enregistrée sous org.audit_log.export, mais cet événement n’est pas inclus dans la vue par défaut du journal d’audit.