Le jeton file est un jeton spécial qui marque le début d'un nouveau fichier d'audit et la fin d'un ancien fichier d'audit lorsque ce dernier est désactivé. Le premier jeton file identifie le fichier précédent dans la piste d'audit. Le dernier jeton file identifie le fichier suivant dans la piste d'audit. Ces jetons "lient" les fichiers d'audit successifs dans une piste d'audit unique.
La commande praudit -x affiche les champs du jeton file. La ligne dans l'exemple suivant est renvoyée à des fins d'affichage.
<file iso8601="2009-04-08 14:18:26.200 -07:00"> /var/audit/machine1/files/20090408211826.not_terminated.machine1</file>