Wtmpdb

Introduction

#

L’outil wtmpdb est le remplaçant moderne du fichier traditionnel /var/log/wtmp. Il utilise une base de données SQLite, ce qui permet des requêtes beaucoup plus rapides et une gestion plus efficace de l’historique des connexions (sessions, reboots, etc.) sur les systèmes Linux récents.

Voici une documentation complète pour son installation et son utilisation.

Présentation 

#

wtmpdb est un utilitaire conçu pour lire et afficher le contenu de la base de données wtmp.db. Contrairement à la commande last classique qui lit un fichier binaire plat /var/log/wtmp, wtmpdb interroge une base SQLite indexée.

Installation 

#

Sur les systèmes basés sur Debian (Debian 12+, Ubuntu 23.10+), l’installation est directe :

sudo apt update
sudo apt install wtmpdb

Utilisation

#

Une fois installé, l’outil s’utilise de manière très similaire à la commande last.

Afficher l’historique des connexions

#

Pour afficher l’historique des connexions (équivalent de last)

wtmpdb last

Afficher l’historique des redémarrages 

#

Pour voir quand le système a été redémarré (équivalent de last reboot) :

wtmpdb last reboot

Filtrer par utilisateur 

#

Pour voir uniquement les connexions d’un utilisateur spécifique :

wtmpdb last user [nom_utilisateur]

Limiter le nombre de lignes 

#

Pour ne voir que les X derniers événements :

wtmpdb last -n X

X représente le nombre de lignes à afficher.

Structure technique 

#

L’installation de ce paquet met en place plusieurs composants :

Binaire : /usr/bin/wtmpdb

Base de données : wtmp.db

Module PAM : pam_wtmpdb.so (enregistre les connexions au moment du login).

Pourquoi utiliser wtmpdb plutôt que last ? 

#

Vitesse : Sur des serveurs avec des mois d’historique, SQLite est instantané là où last peut prendre plusieurs secondes.

Rotation : La gestion de la taille de la base est plus simple et moins sujette à la corruption que le fichier binaire wtmp.

Format : Il est plus facile d’extraire des données de /var/lib/wtmpdb/wtmpdb.db via un script SQL si vous avez besoin de rapports personnalisés.

Pourquoi la confusion peut exister ?

Sur de nombreux systèmes récent (Debian 13), pour faciliter la vie des administrateurs, un alias ou un lien symbolique est créé. Parfois, taper last redirige automatiquement vers wtmpdb last.

Faites ce test pour savoir ce que votre last fait réellement :

ls -l $(which last)

Si vous voyez un lien symbolique /usr/bin/last -> wtmpdb : Alors oui, taper last ou wtmpdb last, c’est exactement la même chose.

Si vous voyez /usr/bin/last (un fichier indépendant) : Alors il s’agit de la version traditionnelle ; elle lit le fichier historique /var/log/wtmp au lieu de la base de données wtmpdb.

ls -l $(which last)
lrwxrwxrwx 1 root root 6 Oct 20  2025 /usr/bin/last -> wtmpdb

Dépannage

#

Base vide : Si wtmpdb ne renvoie rien juste après l’installation, c’est normal. Il commence à enregistrer les données à partir du moment où il est installé. Les anciennes connexions présentes dans /var/log/wtmp ne sont généralement pas importées automatiquement.

Permissions : Si vous recevez une erreur d’accès à la base de données, assurez-vous d’utiliser sudo ou que votre utilisateur appartient au groupe autorisé (souvent adm ou root).