# Les adresses IP que votre site note à chaque visite

> Journaux d'accès et RGPD : l'adresse IP selon l'arrêt Breyer, le repère de six mois à un an de la CNIL, et où régler la durée de conservation chez l'hébergeur.


La réponse courte : chaque page servie laisse une ligne dans le journal d'accès du serveur, avec l'adresse IP du visiteur, l'heure, la page demandée et le navigateur. Depuis l'[arrêt Breyer de la Cour de justice](https://eur-lex.europa.eu/legal-content/FR/TXT/HTML/?uri=CELEX:62014CJ0582) du 19 octobre 2016 (affaire C-582/14), une adresse IP dynamique enregistrée par l'éditeur d'un site est une donnée personnelle dès que cet éditeur dispose de moyens légaux de faire identifier la personne, par l'intermédiaire de son fournisseur d'accès. Vos journaux relèvent donc du RGPD, et de son principe de conservation limitée. C'est la donnée la plus discrète de [l'hébergement européen d'un site](/guides/hebergement-web/hebergeur-web-europeen/), et souvent la seule dont personne n'a fixé la durée.

Quelle durée ? La CNIL n'a pas publié de chiffre propre aux journaux d'accès d'un site public. Sa recommandation de 2021 sur la journalisation, qui vise la traçabilité des accès aux systèmes d'information, retient six mois à un an. Faute de texte plus précis, c'est le repère le plus solide, à condition de l'écrire dans votre registre et de le justifier par la sécurité du site.

## Logs serveur et RGPD : quelle durée de conservation pour les adresses IP

Le texte de référence est la [délibération n° 2021-122 du 14 octobre 2021](https://www.cnil.fr/sites/cnil/files/atoms/files/recommandation_-_journalisation.pdf) (PDF), lue le 12 novembre 2026. La CNIL y recommande de conserver les données de journalisation entre six mois et un an, durée qu'elle juge suffisante pour détecter les attaques sans accumuler un volume de données exposé aux détournements. Elle admet jusqu'à trois ans dans les cas les plus courants où une durée plus longue se justifie, mais refuse qu'on la motive par le seul délai de prescription pénale. Elle précise aussi que sa recommandation n'est ni prescriptive ni exhaustive.

Sur un hébergement mutualisé, c'est d'abord l'hébergeur qui décide de la durée par défaut. Vous la constatez plus que vous ne la réglez.

| Hébergement | Où lire les journaux | Durée constatée | Ce que vous pouvez régler |
|---|---|---|---|
| Infomaniak | Manager, fiche du site, Avancé puis Journaux ; dossier `ik-logs` à la racine | « au moins 7 jours », entrées plus anciennes non restaurables | l'export au format .log |
| cPanel (chez o2switch, par exemple) | outil Raw Access ; archives dans le dossier `logs` du compte | archives gardées tant que vous ne les effacez pas | l'archivage après chaque calcul des statistiques, l'effacement des archives du mois précédent |
| OVHcloud | onglet Statistiques et logs, logs bruts avec environ 5 minutes de différé | non précisée dans la documentation | l'accès aux statistiques par utilisateur |
| VPS sous Caddy | fichiers du serveur web | 90 jours pour les fichiers archivés, réglage par défaut | tout : activation, durée, masquage des adresses |

Sources lues le 12 novembre 2026 : [FAQ d'Infomaniak sur les journaux](https://www.infomaniak.com/fr/support/faq/1926/afficher-les-logs-dacces-et-erreurs-web?utm_term=67f2b039d38a3) (mise à jour du 13 octobre 2026), [documentation de cPanel](https://docs.cpanel.net/cpanel/metrics/raw-access/) (version 126 et suivantes), guide OVHcloud des statistiques et logs, [documentation de Caddy](https://caddyserver.com/docs/caddyfile/directives/log).

Le dernier cas est le mien : ce site est servi par Caddy sur un VPS. Caddy n'écrit aucun journal d'accès tant qu'on ne le lui demande pas ; une fois la directive activée, il garde ses fichiers archivés 90 jours par défaut et propose un filtre qui tronque les adresses IP à leurs premiers octets. Sur un serveur à soi, la question de la durée n'a donc plus d'excuse.

![Illustration : un sablier posé sur une table sombre, à côté d'une pile de bandes de papier vierges qui s'effilochent](/images/logs-serveur-ip-visiteurs-sablier.original.webp "Un journal sans durée de conservation est un sablier qu'on ne retourne jamais.")

Deux nuances complètent le tableau. D'abord, l'hébergeur garde aussi ses propres traces, pour ses obligations à lui : o2switch indique dans sa politique de septembre 2026 conserver un an les données de trafic, en application du décret français n° 2021-1362. Ce n'est pas votre durée, c'est la sienne. Ensuite, un journal d'erreurs contient souvent les mêmes adresses IP que le journal d'accès, et l'outil de statistiques intégré au panneau les lit pour compter vos visiteurs : la durée fixée doit couvrir les trois.

Trois réglages à faire, dans l'ordre : écrire la durée retenue dans le registre des traitements, effacer les archives plus anciennes (à la main ou par une tâche planifiée, ce qu'on appelle un cron), et mentionner les journaux dans la politique de confidentialité du site.

### Les autres serveurs qui notent la même adresse

Votre serveur n'est pas le seul à voir l'adresse IP du visiteur. Chaque police, vidéo ou script chargé depuis un autre domaine l'envoie aussi à ce domaine, qui tient ses propres journaux selon ses propres règles. Le contrôle se fait en deux minutes, comme l'explique [le contrôle des serveurs tiers appelés par vos pages](/guides/hebergement-web/hebergeur-web-europeen/ressources-tierces-site-rgpd/).

### Ce que le contrat dit des journaux

Les journaux sont stockés chez l'hébergeur, qui agit comme sous-traitant : leur lieu de stockage, leur sort à la fin du service et le délai d'alerte en cas de fuite relèvent du même contrat que vos fichiers. Les clauses de cinq hébergeurs sont comparées dans [l'accord de traitement signé avec l'hébergeur](/guides/hebergement-web/hebergeur-web-europeen/contrat-sous-traitance-hebergeur/).

### Côté suisse, une journalisation écrite noir sur blanc

L'ordonnance suisse sur la protection des données impose, pour les traitements automatisés de données sensibles à grande échelle, une journalisation conservée au moins un an, séparément du système. Un site vitrine n'est pas concerné, une plateforme médicale peut l'être. Le cadre complet est décrit dans [les obligations de la loi suisse](/guides/hebergement-web/hebergeur-web-europeen/nlpd-site-internet-hebergement/).


---

Cette page contient des liens d'affiliation. Si tu souscris via ces liens, je peux toucher une commission sans coût supplémentaire pour toi. Mon avis reste indépendant et s'appuie sur mon expérience de client de plusieurs hébergeurs, sur leur documentation officielle et sur les tarifs vérifiés à la date de rédaction.