В журнал попадает каждое изменение
Кто, что, когда, над какой записью и с каким результатом. Отдельный набор тестов утверждает, что не осталось изменяющего маршрута без записи в журнале, — это проверяемое утверждение, а не намерение.
Удалить запись приложение не может
Права на изменение, удаление и очистку журнала у приложения отозваны на уровне базы данных, и попытка отклоняется триггером. Значит, стереть след не может ни ошибка в коде, ни тот, кто получил доступ к учётной записи приложения.
Подробнее
Это защита правами и резервной копией, а не криптографической цепочкой: у записей нет связывающих хэшей, и мы этого не утверждаем. Администратор самой базы данных — отдельный уровень доверия, и он остаётся человеком, а не механизмом.
Секреты в журнал не попадают
Пароли, ключи и токены затираются на входе в журнал, а не при чтении. Отдельная эксплуатационная проверка ищет в записях то, что похоже на учётные данные, и сообщает число найденного.
Основание: модель ролей и прав; правила базы данных. Страница описывает то, что есть в этой сборке, а не то, что запланировано.