Logs de Auditoria

Este recurso faz parte dos planos Team & Enterprise.

Os Audit Logs permitem que administradores de organização revisem facilmente as ações realizadas por membros, incluindo a filiação à organização, as configurações do repositório e as alterações de faturamento.

Acessando os registros de auditoria

Os registros de auditoria estão acessíveis por meio das configurações da sua organização. Cada entrada de log inclui:

• Quem executou a ação
• Que tipo de ação foi tomada
• Uma descrição da alteração
• Localização e endereço de IP anonimizado
• Data e hora da ação

Você também pode baixar o log de auditoria completo como um arquivo JSON para análise adicional.

Exportar via API

A exportação programática está disponível em:

GET https://huggingface.co/api/organizations/{org}/audit-log/export

Autentique-se com um token de acesso de usuário ou um token de conta de serviço que tenha a permissão Export the audit log (org.auditLog.write) para a organização. A resposta é um array JSON de entradas de log, idêntico ao arquivo baixado da página de configurações. Assim como a exportação manual, a chamada de API é registrada como org.audit_log.export.

O endpoint também está documentado na referência OpenAPI.

Quais Eventos São Rastreados?

Cada ação possui um nome de evento no formato scope.action (por exemplo, repo.create, collection.delete). Este é o campo type em cada entrada de log e no JSON exportado—use-o ao buscar ou filtrar logs.

Gerenciamento e Segurança da Organização

Os eventos de Alterações nas configurações abaixo estão disponíveis apenas para ações realizadas após 16 de junho de 2026. Eventos anteriores a essa data usam o tipo de evento exclusivo org.update_settings. Qualquer integração que filtre ou analise o campo type do evento para organizações criadas antes de 16 de junho de 2026 deve lidar com ambos.

• Core organization changes — Criação, exclusão, restauração e renomeação.
  • Eventos: org.create, org.delete, org.restore, org.rename
• Settings changes — As atualizações nas configurações da organização são registradas como eventos granulares org.settings.* , para que você possa identificar exatamente qual configuração foi alterada.
  • Configurações gerais — Perfil, regiões de armazenamento, grupos de recursos e controle de editora.
  • Eventos: org.settings.profile, org.settings.regions, org.settings.resource_groups, org.settings.publisher_gating
  • Provedores de inferência — Configuração do provedor, adição/remoção de chave de API e configurações de uso.
  • Eventos: org.settings.inference_providers, org.settings.inference_providers.keys.add, org.settings.inference_providers.keys.remove, org.settings.inference_providers.usage
  • SSO — atualizações de configuração do SSO, e habilitação ou desabilitação do SSO.
  • Eventos: org.settings.sso, org.settings.sso.enable, org.settings.sso.disable
  • Segurança — Visibilidade padrão do repositório, e a ativação ou desativação da aplicação de 2FA, da adesão automática e da privacidade dos membros.
  • Eventos: org.settings.security.repo_visibility, org.settings.security.2fa.enable, org.settings.security.2fa.disable, org.settings.security.auto_join.enable, org.settings.security.auto_join.disable, org.settings.security.members_privacy.enable, org.settings.security.members_privacy.disable
  • Network — Atualizações de configuração de rede, e habilitação ou desabilitação da restrição de acesso IP e da aplicação de autenticação.
  • Eventos: org.settings.network, org.settings.network.ip_restriction.enable, org.settings.network.ip_restriction.disable, org.settings.network.auth_enforcement.enable, org.settings.network.auth_enforcement.disable
• Security management
  • Rotação de token de API da organização.
  • Evento: org.rotate_token
  • Sistema de aprovação de tokens — Habilitar ou desabilitar a política, solicitações de autorização, aprovações, negativas e revogações.
  • Eventos: org.token_approval.enabled, org.token_approval.disabled, org.token_approval.authorization_request, org.token_approval.authorization_request.authorized, org.token_approval.authorization_request.revoked, org.token_approval.authorization_request.denied
  • SSO — Logins e participações via SSO.
  • Eventos: org.sso_login, org.sso_join
• Join settings — Acesso baseado em domínio e configuração automática de entrada.
  • Evento: org.update_join_settings

Membros e Controle de Acesso

• Member lifecycle — Adição e remoção de membros, alterações de papel e saída de membros da organização.
  • Eventos: org.add_user, org.remove_user, org.change_role, org.leave
• Account type — Convertendo um membro em um colaborador externo, ou de volta para membro.
  • Evento: org.change_account_type
• Invitations — Envio de convites, links de convite por e-mail e usuários aceitando convites.
  • Eventos: org.invite_user, org.invite.accept, org.invite.email
• Automatic joins — Inscrições por meio de domínio de e-mail verificado ou "solicitar acesso".
  • Eventos: org.join.from_domain, org.join.automatic

Contas de serviço

• Service account lifecycle: Criação e exclusão de contas de serviço.
  • Eventos: org.service_account.create, org.service_account.delete
• Service account tokens: Criação, exclusão, rotação e atualizações de tokens (nome, permissões, isenção de segurança de rede), além da geração e revogação das credenciais S3 associadas a um token.
  • Eventos: org.service_account.token.create, org.service_account.token.delete, org.service_account.token.rotate, org.service_account.token.update, org.service_account.token.s3_credential.create, org.service_account.token.s3_credential.delete

Aplicativos OAuth

• OAuth app management — Criação, atualizações (nome, URLs, escopos ou expiração de token) e exclusão de aplicativos OAuth pertencentes à organização, incluindo seu aplicativo de Token Exchange, e transferências de um aplicativo pessoal de um membro para a organização. Alterações de logotipo não são registradas.
  • Eventos: oauth.app.create, oauth.app.update, oauth.app.delete, oauth.app.move
• Client secret — A rotação do client secret (ou a adição de um em um aplicativo público), a remoção dele e a expiração do secret pela Hugging Face.
  • Eventos: oauth.app.secret.rotate, oauth.app.secret.delete, oauth.app.secret.expire
• Token issuance — Tokens emitidos para os membros por meio do Token Exchange do aplicativo.
  • Evento: oauth.token

Gestão de Conteúdo e Recursos

• Repository administration — Criação, exclusão, movimentação, desativação/reativação, configurações de duplicação, remoção de DOI, atribuição de grupo de recursos e configurações gerais do repositório (visibilidade, gating, discussões, etc.). Também exclusão de arquivos LFS.
  • Eventos: repo.create, repo.delete, repo.move, repo.disable, repo.removeDisable, repo.duplication, repo.delete_doi, repo.update_resource_group, repo.update_settings, repo.delete_lfs_file
• Collections — Criação e exclusão de coleções.
  • Eventos: collection.create, collection.delete
• Repository security — Segredos e variáveis (adicionar/atualizar/remover individualmente ou em lote).
  • Eventos (segredos): repo.add_secret, repo.update_secret, repo.remove_secret, repo.add_secrets, repo.remove_secrets
  • Eventos (variáveis): repo.add_variable, repo.update_variable, repo.remove_variable, repo.add_variables, repo.remove_variables
• Spaces configuration — Alterações de nível de armazenamento, atualizações de hardware (flavor) e ajustes de tempo de suspensão.
  • Eventos: spaces.add_storage, spaces.remove_storage, spaces.update_hardware, spaces.update_sleep_time

Grupos de Recursos

• Resource group administration — Criação, exclusão e alterações de configurações.
  • Eventos: resource_group.create, resource_group.delete, resource_group.settings
• Resource group members — Adição e remoção de usuários, e alterações de papel.
  • Eventos: resource_group.add_users, resource_group.remove_users, resource_group.change_role
• Resource group invitations — Convidar usuários de fora da organização para um grupo de recursos e revogar esses convites.
  • Eventos: resource_group.invite_user, resource_group.invite.revoke

Jobs e Jobs Agendados

• Jobs — Criação de jobs (por exemplo, em um Space) e cancelamento.
  • Eventos: jobs.create, jobs.cancel
• Scheduled jobs — Criação, exclusão, retomada, suspensão e disparo de execuções.
  • Eventos: scheduled_job.create, scheduled_job.delete, scheduled_job.resume, scheduled_job.suspend, scheduled_job.run

Faturamento e Integração com a Nuvem

• Payment and customers — Atualização, associação e remoção de métodos de pagamento; criação de conta de cliente.
  • Eventos: billing.update_payment_method, billing.create_customer, billing.remove_payment_method
• Cloud marketplaces — vinculação/desvinculação e aprovação de marketplace na AWS e no GCP.
  • Eventos: billing.aws_add, billing.aws_remove, billing.gcp_add, billing.gcp_remove, billing.marketplace_approve
• Subscriptions — Início, renovação, cancelamento, reativação e atualização de assinaturas (incluindo detalhes do plano e do contrato).
  • Eventos: billing.start_subscription, billing.renew_subscription, billing.cancel_subscription, billing.un_cancel_subscription, billing.update_subscription, billing.update_subscription_plan, billing.update_subscription_contract_details

Referência de eventos

A lista acima cobre todos os tipos de eventos exibidos na interface do usuário e na exportação do log de auditoria. Os nomes dos eventos seguem o padrão scope.action; os escopos incluem org, repo, collection, spaces, resource_group, jobs, scheduled_job, oauth e billing. A própria ação de exportação é registrada como org.audit_log.export, mas esse evento não está incluído na visualização padrão do log de auditoria.