Activiteitenlogboek en SIEM-integratie

Het activiteitenlogboek geeft beheerders van de workspace een chronologisch overzicht van veiligheidsrelevante gebeurtenissen in hun workspace, met wie de actie uitvoerde, wanneer en vanaf waar.

Je kunt activiteit direct in het beheerdersdashboard bekijken, het exporteren naar CSV voor ad-hoc beoordeling, of streamen naar je SIEM via een pollbare JSON API voor langdurige bewaring en waarschuwingen.

Wat er wordt gelogd.

Elke gebeurtenis legt vast:

• Wie de actie uitvoerde (naam, e-mailadres, gebruikers-ID).
• Wanneer het gebeurde.
• Het IP-adres en het land van herkomst.
• Alle relevante transferdetails op het moment van de gebeurtenis.

Voor de volledige lijst met ondersteunde gebeurtenistypen en hun schema's, zie de API-referentie hieronder.

Activiteit in het dashboard bekijken

Ga naar Workspace-instellingen → Activiteitenlogboek om de live activiteitenfeed te zien.

Gebeurtenissen filteren

Gebruik de dropdownfilters om de lijst met gebeurtenissen te verfijnen:

• Gebeurtenistype — toon alleen specifieke gebeurtenistypen (bijv. "Transfer created").
• Lid — toon alleen gebeurtenissen van een specifiek teamlid.

Gebeurtenisdetails bekijken

Klik op een gebeurtenis om de detailweergave te openen, waarin alle informatie staat die bij de gebeurtenis is vastgelegd — inclusief transferinstellingen, IP-adres en land.

Exporteren naar CSV

Klik op Export CSV om gebeurtenissen te downloaden voor elk datumbereik (tot 1 maand). De CSV bevat: gebeurtenis-ID, tijdstempel, gebeurtenistype, e-mailadres van de uitvoerder, transfer-ID, IP-adres, landcode en de volledige gebeurtenisgegevens.

Een SIEM-integratie koppelen

Je kunt externe SIEM-tools — zoals Splunk — koppelen om automatisch gebeurtenissen van je workspace op te halen.

Lees de Splunk-installatiegids →

Stap 1: Genereer een API-token

1. Ga naar Workspace-instellingen → Activiteitenlogboek.
2. Ga naar de sectie API Tokens bovenaan de pagina en klik op Generate new token.
3. Kies een vervaldatum of selecteer "Token never expires".
4. Klik op Generate token.
5. Kopieer het token uit de lijst om in je SIEM-configuratie te gebruiken.

Stap 2: Kopieer de endpoint-URL

Gebruik deze endpoint-URL:

https://wetransfer.com/api/external/v1/activity-events

Stap 3: Configureer je SIEM

Gebruik het token en de endpoint-URL om een pollingintegratie in je SIEM-tool op te zetten. De integratie moet:

• Poll de endpoint op regelmatige intervallen. 1 minuut is een goede standaard voor SIEM-gebruik; alles tussen 1 en 5 minuten is redelijk, afhankelijk van hoe actueel je de gegevens nodig hebt (de API staat tot 60 verzoeken per minuut per token toe — zie Rate limiting hieronder).
• Bij de eerste run, geef since=<current_time> door in ISO 8601-formaat om vanaf nu te starten, of laat het weg om alle beschikbare geschiedenis in te vullen (tot 1 jaar).
• Zet het token in de Authorization-header: Authorization: Bearer <your-token>.
• Sla de next_cursor uit elke response op en geef deze door als de after-parameter in het volgende verzoek.
• Als has_more true is, haal dan onmiddellijk de volgende pagina op voordat je wacht.
• Bij een 429-response, respecteer de Retry-After-header (in seconden) voordat je het opnieuw probeert.

Stap 4: Controleer of gebeurtenissen binnenkomen

Nadat je je SIEM hebt geconfigureerd, maak je een test transfer in je workspace. Gebeurtenissen worden gewoonlijk binnen enkele seconden na de actie via de API beschikbaar en zouden tijdens de volgende poll in je SIEM moeten verschijnen. Als een gebeurtenis na een minuut nog niet is binnengekomen, controleer dan of het token actief is, of geen event_type-filter deze uitsluit, en of de pollingjob de nieuwste next_cursor gebruikt.

API-tokens beheren

Alle actieve tokens staan in de sectie API Tokens, en tonen:

• Tokenwaarde
• Vervaldatum (of "Geen vervaldatum")
• Of het token actief is of verlopen.

Klik op het prullenbakpictogram naast een token om het in te trekken. Dit voorkomt direct dat een SIEM-integratie die dat token gebruikt toegang krijgt tot je gebeurtenissen.

Token rouleren zonder downtime

Bij het rouleren van referenties (geplande rotatie of na een vermoedelijke blootstelling):

1. Genereer een nieuw token.
2. Werk je SIEM-configuratie bij zodat deze het nieuwe token gebruikt.
3. Bevestig dat het nieuwe token in gebruik is — de last_used_at-timestamp zal binnen een pollingcyclus worden bijgewerkt.
4. Trek het oude token in.

API-referentie

Endpoint

GET https://wetransfer.com/api/external/v1/activity-events
Authorization: Bearer <your-token>

Parameters

Responseformaat

{
  "events": [
    {
      "event_id": "cf2a4ece6e2164b01f351671881a153e",
      "event_type": "transfer_created",
      "actor_email": "user@company.com",
      "actor_id": "email|adroit|3f8d2e1a-5b22-40aa-95d1-5f831b8d9f42",
      "ip_address": "203.0.113.42",
      "country_code": "NL",
      "target": { "type": "transfer", "id": "transfer-id" },
      "data": { "transfer_name": "Project files", "..." },
      "created_at": "2026-04-15T10:00:00Z"
    }
  ],
  "next_cursor": "opaque-cursor-string",
  "has_more": true
}

Gebeurtenissen worden geretourneerd in oplopende created_at-volgorde (oudste eerst), met event_id als stabiele tie-breaker. Deze ordening is gegarandeerd over pagina's heen, dus je kunt veilig gebeurtenissen naar je SIEM streamen zodra ze binnenkomen.

Type-specifieke gegevensvelden

De vorm van het object data hangt af van de event_type. Algemene velden zoals actor_name, transfer_name, short_url en transfer_owner_email verschijnen in elke gebeurtenis. Type-specifieke velden:

Rate limiting

De API staat 60 verzoeken per minuut per token toe. Als je deze limiet overschrijdt, ontvang je een 429-response met een Retry-After-header die aangeeft hoeveel seconden je moet wachten.

Foutresponses

Alle fouten geven een consistente JSON-body terug met een machineleesbare code, een mensleesbare message en een request_id die nuttig is wanneer je contact opneemt met het supportteam.

{
  "error": {
    "code": "token_invalid",
    "message": "Invalid or expired token.",
    "request_id": "dae749c0542e1a59eb107290a3185a5c"
  }
}

Veelgestelde vragen

Kan ik gebeurtenissen opvragen voor verwijderde transfers?

Ja. Gebeurtenissen zijn op zichzelf staand — alle transfergegevens worden vastgelegd op het moment van de gebeurtenis en blijven beschikbaar, zelfs nadat de transfer is verwijderd.

Wat gebeurt er als mijn SIEM offline gaat?

Alleen workspacebeheerders kunnen API-tokens genereren, bekijken en intrekken.

Kan ik meerdere API-tokens hebben?

Ja. Je kunt meerdere tokens genereren, bijvoorbeeld één per SIEM-integratie.

Wie kan API-tokens beheren?

Alleen workspacebeheerders kunnen API-tokens genereren, bekijken en intrekken.