Rendilo append-only e immutabile, concatena ogni voce a quella precedente con un hash così che la manomissione sia rilevabile, partiziona per tempo così che i dati vecchi scadano a basso costo, e archivia le partizioni sigillate su WORM object storage (write-once) con una retention policy — non permettere mai / sui record live.
UPDATEDELETEservice ──emit event──▶ append-only writer
│ hash = H(prev_hash || payload)
▼
audit_2026_07 (hot partition) ◀── query by actor/time
│ month sealed
▼
WORM object store (S3 Object Lock) ── retention: 7y
│
periodic anchor: publish latest hash externally
L'intero valore di un audit log è che puoi fidartene in futuro, quindi lo schema deve proibire la mutazione. Concedi all'app solo INSERT — niente UPDATE/DELETE — e imponilo a livello di ruolo DB, non solo nel codice. Sopra a ciò, costruisci una hash chain: ogni riga memorizza hash = SHA256(prev_hash || this_row). Cambia una qualsiasi riga storica e ogni hash successivo si rompe, così la manomissione è rilevabile anche da chi ha accesso al DB. Periodicamente ancora l'ultimo hash in un luogo che non controlli (un notaio, un registro pubblico, una email firmata) così che persino un admin che riscrive l'intera catena non possa far combaciare il valore ancorato.
I log pluriennali crescono senza limite, quindi partiziona per tempo (es. range partition mensili). Vantaggi: le query filtrano per partizione, e ritirare i dati vecchi è un DETACH/DROP PARTITION di metadati — istantaneo, non un gigantesco DELETE che gonfia la tabella. Le partizioni sigillate si spostano su WORM storage — S3 Object Lock in compliance mode impedisce fisicamente la cancellazione fino alla data di retention, soddisfacendo regolamenti come SOX/HIPAA. Mantieni i mesi recenti caldi in Postgres per query veloci; tutto ciò che è più vecchio è freddo in object storage, interrogato on demand.
Il sondaggio è se comprendi che "audit log" significa immutabilità e provabilità, non solo "una tabella con un timestamp". Buono: tabella append-only. Eccellente: append-only imposto dal ruolo DB, hash chain con ancoraggio esterno, partitioning temporale per la retention, WORM per la compliance. Trappola comune: memorizzare le righe di audit nella stessa tabella app mutabile (un bug o un DBA malevolo può riscrivere silenziosamente la storia) — gli auditor la rifiuteranno.
Una raccolta di domande di colloquio IT con risposte dettagliate — da Junior a Senior.
Dona