Automatiser les mises à jour de sécurité

Une faille corrigée mais non installée reste une faille ouverte. Sur un serveur public, l'écart entre la publication d'un correctif et son application se compte en jours, parfois en heures. Automatiser les mises à jour de sécurité réduit cette fenêtre sans vous demander de vous connecter chaque matin.

Ce que fait réellement l'outil

unattended-upgrades installe automatiquement les mises à jour issues du dépôt de sécurité Debian et des points de publication. Il ne change pas de version majeure de Debian, ne touche pas aux dépendances applicatives (npm, pip, Composer) et ne redémarre pas la machine par défaut. Il est déclenché par les minuteries systemd apt-daily et apt-daily-upgrade.

Installer et activer

sudo apt update
sudo apt install unattended-upgrades apt-listchanges
sudo dpkg-reconfigure -plow unattended-upgrades

La dernière commande écrit le fichier de planification. Vérifiez son contenu :

cat /etc/apt/apt.conf.d/20auto-upgrades

Vous devez y lire deux directives actives :

APT::Periodic::Update-Package-Lists "1";
APT::Periodic::Unattended-Upgrade "1";

Régler le périmètre

Le fichier /etc/apt/apt.conf.d/50unattended-upgrades contrôle ce qui est autorisé. Sur Debian 13, la règle de sécurité ressemble à ceci :

Unattended-Upgrade::Origins-Pattern {
    "origin=Debian,codename=trixie-security";
    "origin=Debian,codename=trixie,label=Debian";
};
Unattended-Upgrade::Automatic-Reboot "false";
Unattended-Upgrade::Remove-Unused-Dependencies "false";

Laissez le redémarrage automatique à false : vous choisirez le moment. Gardez la suppression des dépendances inutilisées désactivée, car elle peut retirer un paquet dont votre application dépend sans le déclarer. Pour exclure un paquet qui casse votre service à chaque mise à jour, ajoutez-le à Package-Blacklist, mais documentez la raison et revenez dessus régulièrement : exclure revient à ne pas corriger.

Redémarrages et services

Un VPS NeoHeberg est un conteneur système : le noyau est fourni par la plateforme, donc les mises à jour du conteneur concernent les bibliothèques et les services, pas le noyau. Une mise à jour de libc ou d'OpenSSL impose en revanche de redémarrer les processus qui les utilisent.

Installez needrestart pour identifier les services à relancer :

sudo apt install needrestart

Après une mise à jour, sudo needrestart -r l liste les services concernés. Redémarrez-les dans une fenêtre calme, puis redémarrez le VPS depuis le dashboard si nécessaire.

Surveiller et tester

Automatiser sans vérifier revient à espérer. Contrôlez régulièrement :

sudo tail -n 50 /var/log/unattended-upgrades/unattended-upgrades.log
systemctl list-timers 'apt-daily*'
apt list --upgradable
sudo unattended-upgrade --dry-run --debug

La dernière commande simule une exécution et affiche ce qui serait installé. Si le journal ne bouge plus, vérifiez que les minuteries sont actives et que le disque n'est pas plein : une mise à jour échouée laisse souvent un message explicite dans le log. Enfin, gardez un point de restauration avant les périodes de changements importants : une mise à jour de sécurité peut tout de même casser une application mal configurée.