C'est pas une critique contre toi, je suppose bien que tu es au courant, mais je préfères préciser pour éviter que quelqu'un de mal renseigné puisse penser qu'avoir de vielles bibliothèques est plus sur.
L'avantage de logback c'est qu'il est toujours maintenu donc si une faille est découverte il te suffit normalement de mettre en place la version corrigée. Alors que la transition de log4j 1.x à log4j 2.x n'est pas totalement transparente.