Aller au contenuAller à l'arborescence
Arborescence Windows
  1. C:
  2. Windows
  3. System32
  4. winevt
  5. Logs
  6. Application.evtx
JournalRisque : Prudence

Application.evtx C:\Windows\System32\winevt\Logs\Application.evtx

Journal Application : événements émis par les applications et certains composants (erreurs, avertissements, informations).

Mis à jour le Par AltF4 Formation

À quoi ça sert

Application.evtx reçoit les événements des programmes installés et de certains services : plantages, erreurs d’exécution, messages d’information. C’est le journal à ouvrir pour comprendre pourquoi un logiciel se ferme ou ne démarre plus. Les journaux voisins ont chacun leur public : System.evtx pour Windows et ses pilotes, Security.evtx pour l’audit.

Ce qu’il contient

  • Les erreurs d’application (source Application Error, ID 1000) et les blocages (Application Hang, ID 1002).
  • Les rapports du service d’erreurs Windows (source Windows Error Reporting, ID 1001) et les erreurs .NET Runtime (ID 1026).
  • Les messages de Windows Installer (source MsiInstaller, par exemple ID 11707 pour une installation réussie et 11708 pour un échec).
  • Les événements des moteurs de base de données, des antivirus et des logiciels métier qui utilisent ce journal.

Risques et bonnes pratiques

  • Le service EventLog verrouille le fichier : exportez-le avec wevtutil epl au lieu de le copier ou de le supprimer.
  • Le journal peut contenir des noms de fichiers ou de chemins : relisez-le avant de le transmettre à un tiers.
  • Ajustez sa taille maximale plutôt que de l’effacer régulièrement, et exportez-le avant tout effacement lors d’une enquête.

Commandes utiles

Fenêtre de terminal
# 20 derniers événements
Get-WinEvent -LogName Application -MaxEvents 20


# Plantages d'applications (événement 1000) des 7 derniers jours
Get-WinEvent -FilterHashtable @{LogName='Application'; Id=1000; StartTime=(Get-Date).AddDays(-7)}


# Sauvegarder une copie du journal
wevtutil epl Application "$env:USERPROFILE\Desktop\Application-sauvegarde.evtx"

Format

Fichier binaire XML (.evtx). Chaque événement comporte une source, un identifiant, un niveau et un message mis en forme par la bibliothèque de messages de l’application émettrice.

Rotation et archivage

Taille maximale et rétention se règlent par journal (propriétés du journal ou stratégie de groupe), et wevtutil gl Application affiche les valeurs en vigueur. Pour archiver, exportez en .evtx avec wevtutil epl.

Comment le lire

Ouvrez l’Observateur d’événements, « Journaux Windows », « Application », puis filtrez sur le niveau Erreur et sur la source qui vous intéresse. Si le texte d’un événement est incomplet, le logiciel émetteur n’est peut-être plus installé : l’identifiant et la source restent exploitables.

Signaler une erreur