Journal d’activité et intégration SIEM

Le journal d’activité fournit aux administrateurs de l’espace de travail un enregistrement chronologique des événements pertinents pour la sécurité dans leur espace de travail, ainsi que qui a effectué chaque action, quand et d’où.

Vous pouvez parcourir l’activité directement dans le tableau de bord d’administration, l’exporter au format CSV pour une revue ponctuelle, ou la diffuser vers votre SIEM via une API JSON interrogeable pour une conservation à long terme et des alertes.

Ce qui est consigné

Chaque événement enregistre :

• Qui a effectué l’action (nom, email, identifiant utilisateur)
• Quand cela s’est produit
• L’adresse IP et le pays d’origine
• Tous les détails pertinents du transfert au moment de l’événement

Pour la liste complète des types d’événements pris en charge et de leurs schémas, consultez la référence API ci‑dessous.

Afficher l’activité dans le tableau de bord

Accédez à Paramètres de l’espace de travail → Journal d’activité pour voir le flux d’activité en direct.

Filtrer les événements

Utilisez les filtres déroulants pour affiner la liste d’événements :

• Type d’événement — afficher uniquement certains types d’événements (par ex. « Transfer created »)
• Membre — afficher uniquement les événements d’un membre spécifique de l’équipe

Afficher les détails de l’événement

Cliquez sur un événement pour ouvrir la vue détaillée, qui affiche toutes les informations capturées au moment de l’événement — y compris les paramètres du transfert, l’adresse IP et le pays.

Exportation au format CSV

Cliquez sur Export CSV pour télécharger les événements d’une plage de dates quelconque (jusqu’à 1 mois). Le CSV inclut : ID de l’événement, horodatage, type d’événement, email de l’acteur, ID du transfert, adresse IP, code pays, et les données complètes de l’événement.

Connexion d’une intégration SIEM

Vous pouvez connecter des outils SIEM externes — tels que Splunk — pour interroger automatiquement les événements d’activité de votre espace de travail.

Lire le guide de configuration Splunk →

Étape 1 : Générer un jeton API

1. Accédez à Paramètres de l’espace de travail → Journal d’activité
2. Dans la section Jetons API en haut de la page, cliquez sur Générer un nouveau jeton
3. Choisissez une durée d’expiration, ou sélectionnez « Token never expires »
4. Cliquez sur Générer le jeton
5. Copiez le jeton depuis la liste pour l’utiliser dans la configuration de votre SIEM

Étape 2 : Copier l’URL du point de terminaison

Utilisez cette URL de point de terminaison :

https://wetransfer.com/api/external/v1/activity-events

Étape 3 : configurer votre SIEM

Utilisez le jeton et l’URL du point de terminaison pour configurer une intégration par interrogation dans votre outil SIEM. L’intégration doit :

• Interroger le point de terminaison à intervalles réguliers. 1 minute est une bonne valeur par défaut pour une utilisation SIEM ; une fréquence comprise entre 1 et 5 minutes est raisonnable selon la rapidité à laquelle vous avez besoin des données (l’API autorise jusqu’à 60 requêtes par minute et par jeton — voir Limitation du débit ci‑dessous).
• Lors de la première exécution, passez since=<current_time> au format ISO 8601 pour démarrer à partir de maintenant, ou omettez‑le pour reconstituer tout l’historique disponible (jusqu’à 1 an).
• Inclure le jeton dans l’en‑tête Authorization : Authorization: Bearer <your-token>
• Enregistrez le next_cursor de chaque réponse et transmettez‑le comme paramètre after dans la requête suivante.
• Si has_more est vrai, récupérez la page suivante immédiatement avant d’attendre.
• Sur une réponse 429, respectez l’en‑tête Retry-After (en secondes) avant de réessayer.

Étape 4 : vérifier que les événements arrivent

Après avoir configuré votre SIEM, créez un transfert de test sur votre espace de travail. Les événements deviennent généralement disponibles via l’API quelques secondes après l’action et doivent apparaître dans votre SIEM lors de la prochaine interrogation. Si un événement n’est pas arrivé après une minute, vérifiez que le jeton est actif, qu’aucun filtre event_type ne l’exclut, et que la tâche d’interrogation utilise le next_cursor le plus récent.

Gestion des jetons API

Tous les jetons actifs sont listés dans la section Jetons API, affichant :

• Valeur du jeton
• Date d’expiration (ou « No expiration »)
• Si le jeton est actif ou expiré

Cliquez sur l’icône de corbeille à côté d’un jeton pour le révoquer. Cela empêche immédiatement toute intégration SIEM utilisant ce jeton d’accéder à vos événements.

Rotation d’un jeton sans interruption de service

Lors de la rotation des identifiants (rotation planifiée ou après une exposition suspectée) :

1. Générer un nouveau jeton
2. Mettre à jour la configuration de votre SIEM pour utiliser le nouveau jeton
3. Confirmez que le nouveau jeton est utilisé — son horodatage last_used_at sera mis à jour au cours d’un cycle d’interrogation
4. Révoquer l’ancien jeton

Référence API

Point de terminaison

GET https://wetransfer.com/api/external/v1/activity-events
Authorization: Bearer <your-token>

Paramètres

Format de la réponse

{
  "events": [
    {
      "event_id": "cf2a4ece6e2164b01f351671881a153e",
      "event_type": "transfer_created",
      "actor_email": "user@company.com",
      "actor_id": "email|adroit|3f8d2e1a-5b22-40aa-95d1-5f831b8d9f42",
      "ip_address": "203.0.113.42",
      "country_code": "NL",
      "target": { "type": "transfer", "id": "transfer-id" },
      "data": { "transfer_name": "Project files", "..." },
      "created_at": "2026-04-15T10:00:00Z"
    }
  ],
  "next_cursor": "opaque-cursor-string",
  "has_more": true
}

Les événements sont renvoyés par ordre created_at croissant (les plus anciens d’abord), avec event_id comme critère de départage stable. Cet ordre est garanti entre les pages, vous pouvez donc diffuser en toute sécurité les événements vers votre SIEM au fur et à mesure qu’ils arrivent.

Champs de données spécifiques à l’événement

La forme de l’objet data dépend de event_type. Des champs communs comme actor_name, transfer_name, short_url et transfer_owner_email apparaissent sur chaque événement. Champs spécifiques au type :

Limitation du débit

L’API permet 60 requêtes par minute et par jeton. Si vous dépassez cette limite, vous recevrez une réponse 429 avec un en‑tête Retry-After indiquant le nombre de secondes à attendre.

Réponses d’erreur

Toutes les erreurs renvoient un corps JSON cohérent avec un code lisible par machine, un message lisible par l’humain, et un request_id utile lors du contact avec le service d’assistance.

{
  "error": {
    "code": "token_invalid",
    "message": "Invalid or expired token.",
    "request_id": "dae749c0542e1a59eb107290a3185a5c"
  }
}

Questions fréquentes

Puis‑je obtenir des événements pour des transferts supprimés ?

Oui. Les événements sont autonomes — tous les détails du transfert sont capturés au moment de l’événement et restent disponibles même après la suppression du transfert.

Que se passe‑t‑il si votre SIEM est hors ligne ?

Lorsque votre SIEM est de nouveau en ligne, il reprend là où il s’était arrêté en utilisant le curseur enregistré. Aucun événement n’est perdu.

Puis‑je avoir plusieurs jetons API ?

Oui. Vous pouvez générer plusieurs jetons, par exemple un par intégration SIEM.

Qui peut gérer les jetons API ?

Seuls les administrateurs de l’espace de travail peuvent générer, consulter et révoquer les jetons API.