Consulter l’historique sudo de votre Mac

Ce qu’est sudo, et pourquoi son historique compte

sudo permet à un administrateur d’exécuter une commande unique en tant qu’utilisateur root, le compte qui peut tout modifier sur le Mac en dehors de la protection de l’intégrité du système (SIP). Vous la saisissez vous-même dans le Terminal, et les scripts d’installation et les outils de développement l’exécutent souvent après vous avoir demandé votre mot de passe.

L’historique sudo constitue donc une trace utile. Si vous n’avez exécuté aucune commande d’administration ce mois-ci et que la liste n’est pas vide, c’est que quelque chose d’autre l’a fait : peut-être un script copié depuis une page web, ou un installateur qui en a fait plus qu’annoncé. Si c’était vous, c’est un moyen rapide de vous rappeler ce qu’un script d’installation a modifié.

Comment consulter l’historique sudo sur un Mac

macOS ne conserve aucun fichier d’historique sudo qui lui soit propre. Chaque utilisation est écrite dans le journal système unifié, que vous pouvez interroger dans le Terminal avec :

log show --predicate 'process == "sudo"' --last 30d

Le résultat est long et mêle d’autres messages de sudo. Sudo Activity lance cette même recherche à votre place, isole les lignes qui enregistrent une commande, puis affiche chacune avec sa date et la commande complète exécutée, comme /usr/bin/whoami ou le script d’un installateur. Les dix entrées les plus récentes sont affichées, de la plus récente à la plus ancienne. Si le journal ne contient aucune commande sudo sur les 30 derniers jours, la page l’indique.

Quand le journal est illisible

Une liste vide et un journal illisible ne sont pas la même chose, et la page les distingue. Si macOS refuse ou échoue à lire le journal, Sudo Activity affiche Sudo history unavailable avec le motif, plutôt que d’indiquer qu’il n’y a eu aucune activité.

Ce qu’il ne couvre pas

Sudo Activity affiche les commandes exécutées via sudo. Il ne liste pas les fois où vous avez saisi votre mot de passe dans une fenêtre macOS pour approuver un installateur ou une modification dans les Réglages Système, que macOS gère sans sudo. Pour savoir ce qui dispose de l’accès le plus profond à votre Mac, consultez Privacy Access pour les apps ayant l’Accès complet au disque ou l’Accessibilité, et Startup Items pour ce qui démarre à la connexion.

Lu sur votre Mac