unattended-upgradesIl s'agit du paquet Debian permettant de télécharger et d'installer automatiquement certaines mises à jour APT sans authentification. Sur un serveur sans interface graphique, il s'avère utile pour la maintenance de la sécurité lorsqu'aucune session de bureau n'est disponible et que personne n'est censé l'exécuter apt upgradequotidiennement.
En octobre 2026, Debian 13 « trixie » est la version stable de Debian, et le unattended-upgradespaquet stable est la version 2.12. Ce paquet est destiné aux mises à jour régulières, notamment celles de sécurité et de stabilité. Il ne remplace pas la procédure de mise à niveau planifiée d'une version majeure de Debian à une autre.
Le modèle pratique est simple : le mécanisme d’APT met à jour périodiquement les index des paquets, apt-daily-upgrade.serviceappelle le service de mise à niveau automatique selon une planification définie, et votre politique détermine les origines de paquets autorisées. Debian enregistre le résultat dans le répertoire `/etc/apt /var/log/unattended-upgrades/...
| But | Action recommandée |
|---|---|
| Installez le programme de mise à jour | sudo apt update && sudo apt install unattended-upgrades |
| Activer le travail périodique quotidien | Ensemble APT::Periodic::Update-Package-Lists "1";etAPT::Periodic::Unattended-Upgrade "1"; |
| Maintenir la politique locale viable | Placez les paramètres de remplacement dans un fichier ultérieur tel que52unattended-upgrades-local |
| Testez-le avant de vous y fier. | sudo unattended-upgrade --debug --dry-run |
| Confirmer la planification | Inspecter apt-daily.timeretapt-daily-upgrade.timer |
| Afficher les résultats | Consultez /var/log/unattended-upgrades/vos alertes de surveillance |
Lancez l'installation depuis un shell d'administrateur :
sudo apt update
sudo apt install unattended-upgradesL'installation du paquet peut être répétée sans risque : APT indiquera simplement qu'il est déjà installé si le système hôte le possède déjà. Debian décrit ce paquet comme un installateur automatique pour les mises à jour de sécurité et autres mises à jour sélectionnées par la politique de sécurité.
Pour un parc de serveurs, ne présumez pas que chaque image possède la même configuration par défaut. Certaines installations Debian incluent déjà les mises à jour automatiques ; d’autres non, et une configuration existante peut avoir été désactivée. Après l’installation, examinez la configuration effective au lieu de supposer que la présence d’un paquet signifie que la politique souhaitée est active.
Le fichier README de Debian indique qu'une configuration manuelle nécessite ces deux valeurs périodiques APT :
APT::Periodic::Update-Package-Lists "1";
APT::Periodic::Unattended-Upgrade "1";Cette valeur "1"indique que l'activité peut être exécutée quotidiennement. Voici un exemple concret :
sudo nano /etc/apt/apt.conf.d/20auto-upgradesAjoutez ensuite les deux lignes ci-dessus. Vous pouvez examiner la configuration APT fusionnée avec :
apt-config dump | grep -E 'APT::Periodic::(Update-Package-Lists|Unattended-Upgrade)'
Ceci ne garantit pas le démarrage d'une tâche à minuit pile chaque jour. Sur les systèmes Debian basés sur systemd, APT utilise des unités de temporisation et un comportement d'ordonnancement aléatoire. Pour les opérations courantes, vérifiez l'état réel de la temporisation et le prochain déclenchement sur l'hôte plutôt que de concevoir la surveillance en fonction d'une heure estimée.
La politique clé se trouve sous Unattended-Upgrade::Origins-Patternl'ancienne Allowed-Originsforme. La documentation de Debian 2.12 recommande de créer un fragment APT local qui trie après le 50unattended-upgradesfichier du paquet, par exemple :
sudo nano /etc/apt/apt.conf.d/52unattended-upgrades-localCette méthode est préférable à la modification permanente du fichier distribué, car les mises à jour de paquets peuvent remplacer ou entrer en conflit avec la configuration gérée par le fournisseur. Avant de rédiger des modèles, examinez les métadonnées de la version qu'APT utilise :
apt-cache policyPour la plupart des serveurs sans interface graphique, il est recommandé de limiter les mises à jour automatiques aux canaux stables et de sécurité de Debian. Les schémas exacts peuvent varier selon l'organisation de vos dépôts, les miroirs, les fournisseurs tiers et les règles de verrouillage ; considérez donc ces canaux apt-cache policycomme la source de référence pour chaque environnement.
La configuration 2.12 prend en charge les listes noires et blanches de paquets, les redémarrages automatiques, les rapports par e-mail, la suppression des dépendances inutilisées, les limites de bande passante, les restrictions de date de mise à jour et la sortie syslog. Certaines options sont particulièrement pertinentes sur les serveurs distants :
Unattended-Upgrade::Automatic-Reboot "false";
Unattended-Upgrade::MailReport "only-on-error";
Unattended-Upgrade::SyslogEnable "true";Configurez la messagerie uniquement si la machine dispose d'un service de messagerie fonctionnel. Si vous activez le redémarrage automatique, le comportement par défaut de Debian est important : lorsque Automatic-Rebootcette option est activée et /var/run/reboot-requiredque la machine est configurée, elle peut redémarrer sans confirmation. Vous pouvez planifier Unattended-Upgrade::Automatic-Reboot-Timece redémarrage lors d'une fenêtre de maintenance.
Pour de nombreux systèmes de production, il est plus sûr de désactiver le redémarrage automatique, sauf si le service est redondant, que des fenêtres de maintenance sont définies et que les contrôles d'intégrité après redémarrage sont automatisés.
unattended-upgrades.timerSur une installation Debian standard basée sur systemd, vérifiez les minuteurs APT plutôt que de rechercher une unité inventée :
systemctl status apt-daily.timer apt-daily-upgrade.timer
systemctl list-timers apt-daily.timer apt-daily-upgrade.timerapt-daily.timerest associé à l'activité de téléchargement/indexation de paquets de routine, tandis que apt-daily-upgrade.timerdéclenche le chemin de service de mise à niveau/nettoyage utilisé par les mises à niveau sans surveillance.
Ensuite, testez la politique sans modifier les paquets :
sudo unattended-upgrade --debug --dry-runIl s'agit de la vérification préalable la plus utile, car elle évalue la configuration APT réelle et enregistre les détails de débogage. Consultez la sortie pour identifier les paquets qui seraient sélectionnés ou mis de côté, les origines tierces inattendues, les problèmes de dépendances et les invites relatives aux fichiers de configuration.
Si la simulation ne sélectionne rien, cela peut être tout à fait normal lorsque le serveur est à jour. Vérifiez qu'il y a bien des mises à jour en attente apt list --upgradable, puis comparez leurs origines et leur politique avec les modèles configurés.
Le paquet enregistre son journal d'activité principal et la sortie dpkg sous :
/var/log/unattended-upgrades/unattended-upgrades.log
/var/log/unattended-upgrades/unattended-upgrades-dpkg.logLes vérifications utiles comprennent :
sudo tail -n 100 /var/log/unattended-upgrades/unattended-upgrades.log
sudo journalctl -u apt-daily-upgrade.service --since "7 days ago"
test -f /var/run/reboot-required && cat /var/run/reboot-requiredPour un ordinateur de laboratoire personnel, la consultation périodique des journaux peut suffire. Pour les systèmes d'entreprise, il est préférable de centraliser la surveillance des pannes ou de les envoyer à syslog afin qu'une erreur silencieuse du dépôt, un système de fichiers saturé, une dépendance rompue ou une interruption de l'état de dpkg ne passent pas inaperçus.
| Scénario | Politique | Note opérationnelle |
|---|---|---|
| Serveur axé sur la sécurité | Autoriser les mises à jour de sécurité et de stabilité de Debian ; conserver le manuel de redémarrage | Bonne solution par défaut lorsqu'une panne est plus coûteuse qu'un redémarrage différé |
| nœud sans état ou redondant | Autoriser les mises à jour et le redémarrage automatique programmé | Associer à des contrôles de santé et à une vidange de l'équilibreur de charge |
| Appareil sensible au noyau | N’utilisez une liste noire de paquets qu’avec une procédure d’exception documentée. | Le blocage peut laisser des vulnérabilités connues non corrigées. |
| Serveur avec référentiel fournisseur | N’autorisez pas l’origine du fournisseur tant que sa politique de mise à jour n’a pas été examinée. | Vérifiez d'abord la signature, la politique de support et les attentes en matière de restauration. |
Vérifiez s'il existe des mises à jour en attente, si leur origine correspond à votre politique d'autorisation et si une liste noire ou une contrainte de dépendance empêche la sélection. Privilégiez sudo unattended-upgrade --debug --dry-runles analyses factuelles plutôt que de modifier la politique au hasard.
unattended-upgradesCe système est conçu pour éviter les mises à jour nécessitant la résolution d'invites de configuration dpkg. Si un paquet est bloqué de manière répétée, consultez le journal et déterminez s'il convient de gérer manuellement la configuration.
Vérifiez que les minuteurs sont activés et actifs, puis inspectez-les apt-config dump. Les images de référence contiennent souvent des fragments APT locaux, des masquages ou des substitutions de stratégie qui diffèrent des valeurs par défaut du paquet.
Utilisez le chemin de reconfiguration pris en charge par Debian :
sudo dpkg-reconfigure -plow unattended-upgradesLa désactivation du paquet ne remplace pas la gestion normale des correctifs ; elle renvoie simplement la responsabilité à votre processus d’orchestration manuel ou externe.
unattended-upgradesest installé à partir d'un dépôt Debian de confiance.52unattended-upgrades-local.apt-cache policy.apt-daily.timeret apt-daily-upgrade.timersont actifs.sudo unattended-upgrade --debug --dry-runSe termine sans sélections inattendues ni erreurs.Utilisez la documentation officielle de Debian pour valider le comportement sur une version spécifique :
Corrigez les déchirures d'écran des cartes graphiques Intel sous Pardus Linux en vérifiant X11 vs Wayland, les paramètres du compositeur, le taux de rafraîchissement, le pilote Xorg actif et TearFree uniquement lorsque cela est approprié.
Configurer firewalld sur SLES 15 : vérifier les zones, autoriser les services ou les ports, enregistrer les règles permanentes, recharger en toute sécurité et vérifier l’accès.
Activez la mise à jour en direct du noyau sur SLES 15 SP7, appliquez les correctifs pris en charge sans redémarrer, vérifiez les correctifs actifs et comprenez quand un redémarrage du noyau est encore nécessaire.
Activez le mode FIPS sur SLES 15 avec l'utilitaire de configuration pris en charge par SUSE, redémarrez en toute sécurité, vérifiez l'état du noyau et de la politique de chiffrement, et vérifiez les limites de certification.
Installez Google Chrome sur Gooroom OS en toute sécurité grâce aux paquets .deb officiels, à APT, aux vérifications de politique, aux conseils de mise à jour et aux correctifs pour les appareils gérés.
Transférez en toute sécurité les journaux système SLES vers un serveur syslog distant grâce à rsyslog, aux certificats TLS, à la vérification du nom du pair, aux files d'attente, à la validation et aux tests.
Intégrez SLES 15 à Active Directory avec SSSD à l'aide de YaST. Configurez le DNS et l'heure, configurez les connexions au domaine, vérifiez Kerberos et comparez SSSD, Winbind et realmd.
Résolvez les problèmes de Wi-Fi RTL8821CE sur Pardus Linux en vérifiant le pilote rtw88 intégré, le firmware Realtek, rfkill, NetworkManager et les options de repli sécurisées.
Diagnostiquer et corriger les échecs de résolution DNS de Debian 12 avec systemd-resolved, y compris resolv.conf, NetworkManager, networkd, cache et vérification.
Installez Pardus 25.2 à côté de Windows 11 en sauvegardant, en réduisant le volume Windows, en démarrant sur une clé USB UEFI et en protégeant les partitions EFI et de récupération existantes.
