English
Logdaten & Formate

Combined Log Format

Auch genannt: Combined-Format, NCSA Combined

Das Combined Log Format ist ein Zeilenformat für Access Logs von Webservern. Es entspricht dem Common Log Format und ergänzt zwei Felder: den Referer und den User-Agent.

Aufbau

Die Apache-Dokumentation definiert das Format so:

Apache
LogFormat "%h %l %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-agent}i\"" combined

Die Felder in dieser Reihenfolge:

  • %h: IP-Adresse des Clients
  • %l: Identität nach RFC 1413. Laut Apache sehr unzuverlässig, im Log steht meist -
  • %u: authentifizierter Benutzer, sonst -
  • %t: Zeitstempel in eckigen Klammern
  • %r: Anfragezeile mit Methode, Pfad und Protokoll
  • %>s: HTTP-Statuscode der endgültigen Antwort
  • %b: Größe der Antwort in Bytes ohne Header
  • Referer und User-Agent jeweils in Anführungszeichen

nginx bringt ein vordefiniertes Format namens combined mit, das dieselben Angaben enthält und standardmäßig für access_log gilt.

IP-Adressen können personenbezogene Daten sein (EuGH, Urteil vom 19.10.2016, C-582/14, Breyer).

Keine Rechtsberatung.

Eine Logzeile im Combined Log Format, Feld für FeldBeispielzeile aus einem Access-Log im Combined Log Format, aufgeteilt in IP-Adresse, Identität und Benutzer, Zeitstempel, Anfragezeile, Statuscode, Bytes, Referrer und User-Agent. Der User-Agent nennt Googlebot, die IP-Adresse stammt aber aus einem Bereich für Dokumentationszwecke. Ob Google angefragt hat, zeigt erst eine Prüfung per DNS oder IP-Liste.access.log, eine Zeile (umbrochen)203.0.113.7 - - [08/Oct/2026:10:15:32 +0200] "GET /de/glossar/ HTTP/1.1" 200 5120 "-""Mozilla/5.0 (compatible; Googlebot/2.1; +http://www.google.com/bot.html)"IP-Adresse203.0.113.7Client, bei Proxy dessen AdresseIdentität, Benutzer- -„-“ steht für fehlende AngabeZeitstempel[08/Oct/2026:10:15:32 +0200]Eingang der AnfrageAnfrage"GET /de/glossar/ HTTP/1.1"Methode, Pfad, ProtokollStatus200Statuscode der AntwortBytes5120Größe ohne Header, „-“ ohne InhaltReferrer"-"verweisende Seite, hier keineUser-AgentZeile 2Selbstauskunft des ClientsDer User-Agent nennt Googlebot, die IP liegt aber in einem Bereich für Dokumentationszwecke (RFC 5737).Ob Google angefragt hat, zeigt erst eine Prüfung per DNS oder IP-Liste.
Apache und nginx schreiben im Format „combined“ dieselben Felder in derselben Reihenfolge. IP-Adressen können personenbezogene Daten sein (EuGH, Urteil vom 19.10.2016, C-582/14). Keine Rechtsberatung. Quellen: Apache HTTP Server: Log Files (Combined Log Format); nginx: Modul ngx_http_log_module (log_format combined); RFC 5737: IPv4-Adressbereiche für Dokumentation; EuGH: Pressemitteilung 112/16 zum Urteil C-582/14.

Bedeutung für SEO

Der User-Agent im letzten Feld erlaubt es, Zugriffe von Suchmaschinen- und KI-Bots herauszufiltern. Der Statuscode zeigt, wie der Server auf den Abruf geantwortet hat. Viele Werkzeuge zur Logfile-Analyse lesen dieses Format direkt ein.

Beispiel

Text
66.249.66.1 - - [10/Oct/2026:13:55:36 +0000] "GET /produkte/ HTTP/1.1" 200 2326 "-" "Mozilla/5.0 (compatible; Googlebot/2.1; +http://www.google.com/bot.html)"

Das Beispiel ist erfunden. Der Referer ist -, weil der Bot ohne verweisende Seite zugreift.

Quellen

  1. Log Files – Apache HTTP Server 2.4httpd.apache.org
  2. Module ngx_http_log_module – nginxnginx.org
  3. EuGH, Urteil vom 19.10.2016, C-582/14 (Breyer) – EUR-Lexeur-lex.europa.eu

Stand: