Logwatch résout un problème qui, autrement, reste sans solution : il lit pour vous tous les journaux du serveur et envoie un condensé de la journée écoulée. Personne ne parcourt quotidiennement auth.log et les journaux du serveur web, tandis que lire un courriel le matin reste faisable.

Le problème est connu : le premier message arrive avec plusieurs centaines de lignes, le deuxième est survolé, une semaine plus tard une règle de messagerie les range dans un dossier à part, et la surveillance s’arrête là. La cause tient presque toujours aux réglages par défaut, et la correction prend dix minutes.

Installation et où changer les réglages

sudo apt install logwatch

L’endroit où vous écrivez vos valeurs importe. Le fichier /usr/share/logwatch/default.conf/logwatch.conf ne doit pas être touché — il est écrasé lors d’une mise à jour du paquet. Votre fichier est /etc/logwatch/conf/logwatch.conf. Il peut être vide ; il suffit d’y mettre uniquement ce que vous changez.

Output = mail
Format = html
MailTo = admin@example.com
Detail = Low
Range = yesterday

Le niveau de détail décide de tout

Detail accepte des valeurs de 0 à 10 ou les mots Low, Med, High. L’écart est énorme : en High, le rapport contient chaque connexion et chaque requête ; en Low, seulement des totaux et des anomalies.

La pratique : Low en général, et le détail relevé ponctuellement pour les services qui vous intéressent vraiment. Les réglages par service se déposent dans /etc/logwatch/conf/services/ — par exemple un fichier sshd.conf contenant la ligne Detail = High.

Un repère de contrôle : le rapport doit tenir sur un écran ou un écran et demi. Tout ce qui dépasse cessera d’être lu — non par paresse, mais parce qu’un écart est invisible parmi trois cents lignes de routine.

Pour voir le résultat sans attendre le matin :

sudo logwatch --detail Low --range today --output stdout

Une section SSH vide sous Debian 12

Un piège propre aux systèmes récents. Logwatch lit des fichiers texte dans /var/log, or Debian 12 et Ubuntu 24.04 n’installent plus rsyslog par défaut — le fichier /var/log/auth.log n’existe tout simplement pas, tout part dans le journal systemd. Le rapport arrive pourtant fidèlement, mais la section la plus importante — les connexions SSH — se retrouve vide ou absente.

La vérification prend une seconde :

ls -l /var/log/auth.log

Pas de fichier : soit vous installez rsyslog, soit vous acceptez que Logwatch montre sur cette machine un tableau incomplet. Une section vide se lit facilement comme « il ne s’est rien passé », et c’est la conséquence la plus dangereuse.

Où part le courriel

La deuxième cause fréquente du « les rapports n’arrivent pas » : aucun envoi de courrier n’est configuré sur le serveur. Logwatch remet le message à l’agent système, qui ne l’envoie nulle part, et il se dépose dans la boîte locale de root où personne ne regarde jamais :

sudo cat /var/mail/root | tail -50

Deux options. Soit configurer l’envoi par un relais SMTP externe, soit renoncer au courrier et écrire le rapport dans un fichier :

Output = file
Filename = /var/log/logwatch/report.txt

La seconde est plus honnête : un courriel que personne ne peut remettre crée l’illusion d’une surveillance, tandis qu’un fichier sur le disque peut au moins être ouvert.

Que lire dans le rapport

Par utilité décroissante :

  • sshd. Les connexions réussies — qui et d’où. Les réussies précisément, et non les milliers d’échecs : les échecs sont du bruit de fond, tandis qu’une connexion depuis une adresse inconnue exige une explication ;
  • sudo et pam_unix. Qui a élevé ses privilèges et qui a créé des utilisateurs ;
  • Disk Space. Une ligne qui prévient à l’avance d’un disque qui se remplit ;
  • cron. Les tâches apparues et celles qui ont échoué ;
  • http. Une flambée de réponses 404 signifie d’ordinaire un balayage de chemins, une flambée de 500 que quelque chose de votre côté est cassé ;
  • postfix, si le serveur envoie du courrier : une file sortante qui grossit est le signe typique que le serveur sert de relais à spam.

Les limites

Logwatch est un condensé de la journée écoulée, pas une alerte. Il ne vous réveillera pas la nuit et accuse un retard par nature : il tourne au petit matin depuis une tâche quotidienne et traite la veille. Pour « il se passe quelque chose en ce moment », il n’est ni adapté ni prévu.

Sa force est ailleurs — il vous montre la forme d’une journée ordinaire. Après un mois de lecture, vous savez combien d’échecs de connexion sont normaux, combien de requêtes reçoit le site et combien de courrier en sort ; et quand l’un de ces chiffres double, cela saute aux yeux aussitôt, sans le moindre seuil ni la moindre règle. C’est pourquoi il vaut la peine de garder le rapport là où il attire l’œil, et non dans un dossier de messagerie. À quoi cela ressemble sur une page, la démonstration ci-dessous le montre.