Installer des logiciels avec apt et automatiser les mises à jour

apt est le gestionnaire de paquets de Debian et d'Ubuntu : il télécharge les logiciels depuis des dépôts signés, installe leurs dépendances et applique leurs mises à jour. Ce chapitre explique ce qu'est un paquet et un dépôt, le format des sources de Debian 13, les commandes apt et dpkg du quotidien, et la mise en place des mises à jour de sécurité automatiques avec unattended-upgrades.

Paquets, dépendances et dépôts

Un paquet .deb est une archive qui contient les fichiers d'un logiciel, des scripts d'installation et une fiche : nom, version, description et dépendances (les autres paquets nécessaires). Installer nginx demande par exemple nginx-common et quelques bibliothèques : apt les calcule et les installe avec lui.

Les paquets sont publiés dans des dépôts (repositories) : des serveurs HTTP qui hébergent les paquets et un index signé par Debian. apt vérifie cette signature avec les clés installées dans /usr/share/keyrings/ : un miroir piraté ou une interception ne peuvent pas te faire installer un paquet modifié.

Deux outils se partagent le travail :

• dpkg installe, retire et liste les paquets présents sur la machine, sans rien télécharger ni résoudre de dépendances ;
• apt gère les dépôts, télécharge, calcule les dépendances et appelle dpkg. Les anciennes commandes apt-get et apt-cache font la même chose et restent utilisées dans les scripts, car leur sortie ne change pas d'une version à l'autre.

Les sources de paquets sur Debian 13

Sur une installation neuve, l'installeur de Debian 13 écrit encore les dépôts dans /etc/apt/sources.list, à l'ancien format d'une ligne par dépôt (deb http://deb.debian.org/debian trixie main non-free-firmware). APT 3.0 propose le format deb822 : un bloc de lignes Clé: valeur par dépôt, dans un fichier .sources de /etc/apt/sources.list.d/. sudo apt modernize-sources convertit l'ancien fichier (et en garde une copie .bak) ; sur srv-web, on obtient /etc/apt/sources.list.d/debian.sources :

Types: deb
URIs: http://deb.debian.org/debian
Suites: trixie trixie-updates
Components: main non-free-firmware
Signed-By: /usr/share/keyrings/debian-archive-keyring.gpg

Types: deb
URIs: http://security.debian.org/debian-security
Suites: trixie-security
Components: main non-free-firmware
Signed-By: /usr/share/keyrings/debian-archive-keyring.gpg

L'ancien format fonctionne toujours mais est déprécié ; sudo apt modernize-sources le convertit, sur une machine neuve comme sur une machine mise à niveau depuis Debian 12.

Un dépôt d'éditeur. Beaucoup de logiciels de la maquette (Zabbix, Grafana, Wazuh…) publient leur propre dépôt, plus à jour que celui de Debian. La méthode est toujours la même : télécharger la clé publique de l'éditeur dans /etc/apt/keyrings/, déclarer le dépôt dans un fichier .sources avec Signed-By vers cette clé, puis apt update. Chaque éditeur donne les valeurs exactes dans sa documentation ; suis-la, et n'ajoute jamais une clé qui vaudrait pour tous les dépôts.

Les commandes apt du quotidien

Et pour interroger ce qui est installé :

Dans dpkg -l, les deux premières lettres disent l'état : ii = installé ; rc = retiré, mais fichiers de configuration encore présents (un apt purge les supprime).

Mettre à jour un serveur proprement

Sur un serveur, une mise à jour se prépare :

1. lire ce qui va changer : sudo apt update && apt list --upgradable ;
2. prendre un instantané de la VM (ou vérifier la dernière sauvegarde) ;
3. appliquer : sudo apt full-upgrade ;
4. redémarrer les services concernés, et la machine si le noyau, systemd ou une bibliothèque centrale comme libc6 ou OpenSSL a changé ;
5. vérifier que les services répondent (systemctl --failed, test du site).

Le paquet needrestart (sudo apt install needrestart) automatise l'étape 4 : après chaque mise à jour, il liste les services qui utilisent encore une ancienne version d'une bibliothèque et propose de les redémarrer, et il signale quand le noyau en cours n'est plus le plus récent.

Le passage d'une version de Debian à la suivante (de 13 à 14) n'est pas une mise à jour ordinaire : il se prépare avec les notes de publication de la nouvelle version, qui donnent la procédure et les changements à anticiper.

Les mises à jour de sécurité automatiques

La plupart des intrusions exploitent des failles dont le correctif existait déjà. Pour qu'un serveur reçoive ses correctifs de sécurité sans attendre qu'un technicien y pense, Debian fournit unattended-upgrades. Il n'est pas installé par défaut sur une installation Debian classique ; Ubuntu Server, lui, l'installe et l'active d'office.

sudo apt install unattended-upgrades apt-listchanges
sudo dpkg-reconfigure -plow unattended-upgrades    # répondre « Oui »

La seconde commande écrit le fichier /etc/apt/apt.conf.d/20auto-upgrades, qui active la mise à jour quotidienne des index et l'installation automatique :

APT::Periodic::Update-Package-Lists "1";
APT::Periodic::Unattended-Upgrade "1";

Deux minuteries systemd déclenchent le travail : apt-daily.timer télécharge les index et les paquets, apt-daily-upgrade.timer installe, le matin, à une heure tirée au hasard pour ne pas surcharger les miroirs. systemctl list-timers 'apt-daily*' affiche leur prochaine exécution.

Ce qui est installé est défini dans /etc/apt/apt.conf.d/50unattended-upgrades. Par défaut, trois origines sont autorisées : les versions intermédiaires de Debian (label=Debian) et les deux formes du dépôt de sécurité (label=Debian-Security). Les dépôts d'éditeurs et les backports sont exclus : leurs mises à jour restent manuelles, ce qui est souvent voulu pour une application métier.

Unattended-Upgrade::Origins-Pattern {
        "origin=Debian,codename=${distro_codename},label=Debian";
        "origin=Debian,codename=${distro_codename},label=Debian-Security";
        "origin=Debian,codename=${distro_codename}-security,label=Debian-Security";
};

Pour régler le comportement, ne modifie pas ce fichier (une mise à jour du paquet pourrait le remplacer) : crée /etc/apt/apt.conf.d/52unattended-upgrades-local, lu après lui. Chez Sorbier, sur srv-web :

// Prévenir l'équipe en cas de problème ou de mise à jour
Unattended-Upgrade::Mail "informatique@sorbier.example";
Unattended-Upgrade::MailReport "on-change";
// Retirer les dépendances devenues inutiles
Unattended-Upgrade::Remove-Unused-Dependencies "true";
// Redémarrer seul si une mise à jour l'exige, à 4 h du matin
Unattended-Upgrade::Automatic-Reboot "true";
Unattended-Upgrade::Automatic-Reboot-Time "04:00";
// Ne jamais toucher à ces paquets automatiquement
Unattended-Upgrade::Package-Blacklist {
    "nginx";
};

L'envoi de courriels suppose un agent de messagerie configuré sur la machine (exim4 ou postfix en relais vers le serveur de messagerie). Sans lui, les rapports restent dans les journaux.

Vérifier. sudo unattended-upgrade --dry-run --debug simule une exécution et affiche ce qui serait installé ; les exécutions réelles sont journalisées dans /var/log/unattended-upgrades/unattended-upgrades.log, et /var/log/dpkg.log garde la trace de chaque paquet.

Le redémarrage automatique est un choix : acceptable sur srv-web si le site peut s'interrompre deux minutes à 4 h du matin, à éviter sur un serveur dont dépendent d'autres machines à toute heure, qu'on redémarre alors pendant une fenêtre de maintenance prévue. La supervision (cours Supervision) peut surveiller les mises à jour en attente sur tout le parc.

Ubuntu : snap et Ubuntu Pro

Ubuntu utilise apt exactement comme Debian, avec ses propres dépôts (main, universe, restricted, multiverse) dans /etc/apt/sources.list.d/ubuntu.sources depuis la version 24.04. Deux différences :

• snap, un second système de paquets, autonomes et mis à jour automatiquement par le démon snapd : snap list, sudo snap install <nom>, sudo snap refresh. Certains logiciels n'existent qu'en snap sur Ubuntu ;
• Ubuntu Pro (sudo pro attach <jeton>) étend les correctifs de sécurité à universe et sur dix ans, et ajoute Livepatch, qui corrige le noyau sans redémarrage.

Exercices

APT::Periodic::Update-Package-Lists "1";
APT::Periodic::Unattended-Upgrade "0";