Registro eventi di Windows: cos'è, dove sta e quanto può crescere

Che cos'è davvero il registro eventi

Il servizio Registro eventi di Windows (eventlog) raccoglie eventi da decine di provider — driver, servizi, applicazioni, il sottosistema di sicurezza — e li scrive come file binari .evtx in C:\Windows\System32\winevt\Logs\. Il fronte leggibile è il Visualizzatore eventi (eventvwr.msc): gli stessi record, ma con gravità, origine e ID evento. Il classico consiglio «controlla i registri» significa sempre questa cartella: è la scatola nera del sistema, e funziona identica su ogni Windows da Vista in poi.

Il lavoro grosso lo fanno cinque canali. Applicazione registra crash e blocchi dei programmi; Sistema raccoglie le lamentele di driver e servizi; Protezione archivia gli audit degli accessi (4624 riuscito, 4625 fallito) ed è leggibile solo dagli amministratori; Installazione tiene la storia di aggiornamenti e upgrade di Windows. Oltre a questi esistono centinaia di canali analitici e di debug nascosti, che gli ingegneri Microsoft accendono all'occorrenza — ci sono, ma di default sono spenti e scrivono quasi nulla.

• Application.evtx — crash, blocchi ed eventi dei programmi di installazione
• System.evtx — driver, servizi, avvisi hardware
• Security.evtx — tentativi di accesso 4624/4625, leggibile solo dagli amministratori
• Setup.evtx — la storia degli aggiornamenti della macchina
• C:\Windows\System32\winevt\Logs\ — qui vivono tutti i canali, un file .evtx ciascuno

Limiti di dimensione: perché i registri non divorano il disco

Ogni canale ha un proprio massimo, impostato nella finestra Proprietà del registro («Dimensioni massime registro (KB)») e conservato nel Registro di sistema sotto HKLM\SYSTEM\CurrentControlSet\Services\EventLog. Su Windows desktop i classici valori predefiniti si aggirano sui 20 MB per canale, regolabili a scatti di 64 KB fino a 4 GB. È esattamente questo tetto a tenere i registri di una macchina molto usata su poche decine di megabyte dopo anni di servizio: quando un registro tocca il limite, il criterio predefinito è «Sovrascrivi eventi in base alle esigenze (prima i meno recenti)» — il file non cresce mai oltre il soffitto, gli eventi vecchi semplicemente svaniscono.

L'unica via di fuga è l'archiviazione. Se un registro è impostato su «Archivia il registro quando è pieno, non sovrascrivere gli eventi», Windows rinomina il file pieno in Archive-Application-AAAA-MM-GG-hhmmss.evtx e ne apre uno nuovo — e gli archivi si accumulano nella stessa cartella senza alcuna pulizia automatica. È l'unico scenario in cui winevt\Logs cresce davvero: non i registri vivi, ma anni di copie d'archivio che nessuno aveva chiesto.

Ridurlo senza rompere niente

Non eliminate i file .evtx a mano: il servizio Registro eventi di Windows li tiene aperti, e togliere il file di un canale attivo da sotto il servizio corrompe il registro e vi regala errori proprio — guarda caso — nel registro eventi. La via supportata è «Cancella registro» nel Visualizzatore eventi, che può salvare il contenuto corrente prima di azzerarlo. Abbassare il massimo in Proprietà è altrettanto sicuro, e fa effetto al giro di registro successivo.

Lo svuotamento ha anche un prezzo diagnostico da chiamare con il suo nome: questi registri sono l'unico resoconto del perché la macchina è caduta martedì scorso. Svuotateli dopo aver tirato fuori quello che vi serve, non prima. Come fonte di recupero di spazio la cartella è un errore di arrotondamento su un disco moderno — la cache del browser sulla stessa macchina è cento volte più grande — quindi la manutenzione del registro eventi è uno strumento chirurgico, non una categoria di pulizia.

Domande e risposte

Da leggere dopo