Qu'est-ce que le Journal des événements Windows — et quelle taille il peut prendre

Ce qu'est réellement le Journal des événements

Le service « Journal des événements Windows » (eventlog) collecte les événements de dizaines de fournisseurs — pilotes, services, applications, sous-système de sécurité — et les écrit dans des fichiers binaires .evtx sous C:\Windows\System32\winevt\Logs\. La façade lisible, c'est l'Observateur d'événements (eventvwr.msc) : les mêmes entrées, avec le niveau de gravité, la source et l'identifiant. Le conseil classique « regarde dans les journaux » désigne toujours ce dossier : c'est la boîte noire du système, identique sur tout Windows depuis Vista.

Cinq canaux font l'essentiel du travail. Application consigne les plantages et blocages de programmes ; Système porte les plaintes des pilotes et des services ; Sécurité archive les audits de connexion (4624 succès, 4625 échec) et n'est lisible que par les administrateurs ; Installation garde l'historique des mises à jour et des mises à niveau de Windows. S'y ajoutent des centaines de canaux d'analyse et de débogage cachés, que les ingénieurs Microsoft activent à la demande : ils existent, mais ils sont désactivés par défaut et n'écrivent quasiment rien.

• Application.evtx — plantages, blocages, événements des installateurs
• System.evtx — pilotes, services, avertissements matériels
• Security.evtx — tentatives de connexion 4624/4625, administrateurs uniquement
• Setup.evtx — l'historique des mises à jour de la machine
• C:\Windows\System32\winevt\Logs\ — là où vivent tous les canaux, un .evtx chacun

Limites de taille : pourquoi les journaux ne bouffent pas le disque

Chaque canal a son propre maximum, fixé dans les Propriétés du journal (« Taille maximale du journal (Ko) ») et stocké dans le Registre sous HKLM\SYSTEM\CurrentControlSet\Services\EventLog. Sur un Windows de bureau, les valeurs par défaut classiques tournent autour de 20 Mo par canal, ajustables par pas de 64 Ko jusqu'à 4 Go. C'est ce plafond qui maintient les journaux à quelques dizaines de mégaoctets après des années de fonctionnement : quand un journal atteint sa limite, la stratégie par défaut est « Remplacer les événements si nécessaire (les plus anciens d'abord) » — le fichier ne dépasse jamais le plafond, les vieux événements disparaissent simplement.

La seule échappatoire, c'est l'archivage : si un journal passe en « Archiver le journal lorsqu'il est plein », Windows renomme le fichier saturé en Archive-Application-AAAA-MM-JJ-hhmmss.evtx et en ouvre un neuf — et les archives s'empilent dans le même dossier, sans aucun nettoyage automatique. C'est l'unique scénario où winevt\Logs grossit vraiment : pas les journaux vivants, mais des années de copies archivées que personne n'a demandées.

L'élaguer sans rien casser

Ne supprimez pas les .evtx directement : le service les tient ouverts, et effacer le fichier d'un canal actif sous son nez corrompt le journal et vous vaut des erreurs dans — où donc — le Journal des événements. La méthode prise en charge, c'est « Effacer le journal » dans l'Observateur d'événements, avec l'option de sauvegarder d'abord le contenu. Baisser la taille maximale dans les Propriétés est tout aussi sûr et s'applique au prochain tour du journal.

Vider a aussi un coût diagnostique qu'il faut nommer honnêtement : ces journaux sont la seule trace du pourquoi de votre plantage de mardi dernier. Videz-les une fois que vous en avez extrait l'utile, pas avant. Comme source d'espace, le dossier est une virgule sur un disque moderne — le cache du navigateur sur la même machine est cent fois plus gros. L'entretien du journal des événements est un outil chirurgical, pas une catégorie de nettoyage.

Questions et réponses

À lire ensuite