Strapi расширил аудит: смена пароля, аккаунты и входы

Осенние обновления Strapi расширили аудит административных аккаунтов, паролей и входов. Для владельца CMS это возможность лучше видеть события, но не получить сами пароли и не установить автора каждой попытки входа. Перед использованием проверьте версию, доступ к Enterprise-функции и фактический срок хранения журнала.

Что появилось в разных выпусках

Strapi 5.56.0 от 30 сентября 2026 года добавил аудит действий с административными аккаунтами и паролями, а также изменений webhook. В 5.58.0 от 14 октября перечислены неуспешные административные входы и автоматическая регистрация через SSO. Это расширения журнала, а не первое появление всей функции Audit Logs.

При подготовке проверки не переносите любое событие из текущей справки в более ранний релиз. Для каждого нужного действия сопоставьте установленную версию и подтверждённое описание. Иначе отсутствие записи будут ошибочно разбирать как неисправность функции, которой ещё нет в выбранной версии.

Смена пароля не раскрывает секрет

Документация Audit Logs прямо исключает запись пароля, его хеша и токенов сброса или регистрации. Для публичного сброса пароля и принятия приглашения нет административной сессии, поэтому соответствующая колонка пользователя показывает прочерк. У неуспешного входа и SSO auto-registration также описан неизвестный автор.

Это не основание требовать записывать секрет ради расследования. Вопрос проверки другой: есть ли ожидаемое событие, правильно ли оно объяснено и понимает ли ответственный предел доступных сведений. Полезная наблюдаемость не требует превращать журнал в хранилище паролей.

Учебная проверка административных событий

Таблица — предлагаемый набор проверок без настоящих учётных данных. Она не описывает проведённый аудит CMS клиента. Даже корректное появление каждой записи не означает, что проверены все варианты доступа, настройки и операции приложения.

Сначала условия доступа, затем сценарии

Официальная функция относится к CMS Enterprise, для чтения требуется соответствующее право Read. Поэтому поисковая подсказка «Strapi audit logs free» не подтверждает бесплатность этой функции. Сторонние решения оцениваются отдельно и не становятся официальным журналом только из-за похожего названия.

Проверьте, кто действительно должен видеть события и их детали. Для ответа на обращение сотруднику может быть достаточно результата разбора, а не доступа ко всему журналу. При передаче материалов ограничивайтесь необходимым контекстом, не рассылая содержимое административных событий шире задачи.

Срок хранения не равен постоянному архиву

Документация предупреждает об автоматическом удалении старых записей и зависимости хранения от лицензии и конфигурации. Не делайте вывод «всё найдём потом» по наличию интерфейса сегодня. В приёмке зафиксируйте реальное правило выбранного экземпляра.

Сопоставьте срок хранения со своим порядком разбора событий: когда возникает задача, кто её получает и сколько времени требуется на проверку. Если нужная история уже недоступна, нельзя выдавать пустой поиск за доказательство того, что действия не было.

Как проверять без вмешательства в рабочую CMS

1. Зафиксируйте версию, условия доступа и полномочия тестового пользователя.
2. Выберите поддерживаемые события и ожидаемый результат каждого.
3. Подготовьте разрешённую тестовую среду без рабочих секретов.
4. Сопоставьте действия с записью, временем и доступным контекстом.
5. Проверьте различие неизвестного автора и отсутствующего события.
6. Убедитесь, что секреты не попали в детали и материалы проверки.
7. Зафиксируйте срок хранения и ответственного за дальнейший разбор.

Не пытайтесь подтвердить полноту журнала одной удачной сменой пароля. Проверьте нужные роли и отдельные состояния, а вывод ограничьте выполненными случаями. При расхождении сначала сопоставьте версию, права, условия записи и время, вместо произвольного обвинения пользователя.

Для мониторинга безопасности передайте перечень ожидаемых событий и порядок реагирования. При защите приложения сохраняйте границы вывода по журналу, а в доработке CMS включите проверку версии и хранения в приёмку. Реальные пароли, регистрации и изменения серверов в рамках этого разбора не выполнялись.