Il journal si legge con journalctl. Le opzioni più utili sono -u per un servizio, --since per un intervallo, -p err per gli errori e -f per seguirlo in tempo reale. -b -1 mostra il log dell'avvio precedente, per esempio dopo un crash.
Su alcuni sistemi journald tiene i log solo in RAM (/run/log/journal) e dopo un riavvio spariscono. Crea /var/log/journal o imposta Storage=persistent in journald.conf per conservarli.
Lo spazio occupato si limita con SystemMaxUse. Se /var è pieno, journalctl --vacuum-size=500M libera spazio subito.
Esempio
journalctl -u php8.3-fpm --since "1 hour ago" -p warning