Rédigé par Rédaction CyberSDF / 15 septembre 2026

Debian : administration au quotidien

Une fois Debian installée et tenue à jour, l’administration courante tient en peu de choses : quelques commandes récurrentes sur les paquets, la surveillance d’un service qui tourne, un pare-feu ouvert à dessein, un journal qu’on sait lire quand quelque chose ne va plus. Ce qui suit décrit ce que Debian installe par défaut, comment s’articulent le cycle de mise à jour et les paquets, et les trois gestes de sécurité minimaux à garder en tête. Le manuel Debian et la page sources.list(5) restent la référence ; aucune commande n’a été exécutée à votre place.

La distribution est Debian 13 « trixie », version de maintenance 13.6 publiée le 11 juillet 2026. Le cycle de vie documenté court jusqu’au 9 août 2028 en support complet, puis jusqu’au 30 juin 2030 en support à long terme. Les commandes citées ici viennent du guide d’installation Debian, des notes de version de trixie, du manuel Debian et des pages apt(8), dpkg(1), sources.list(5). Elles ne sont pas promises comme universelles : ce sont celles que la documentation Debian publie pour la version stable.

Ce que Debian gère par défaut après l’installation

Une installation Debian par défaut, à partir d’une image « stable » officielle, livre quatre briques principales.

Un système de paquets APT. Les logiciels installés et installables sont décrits dans une base tenue à jour par apt et dpkg. Cette base est interrogée par les commandes habituelles : apt list, apt-cache policy nom-du-paquet, dpkg -l. C’est par elle que passent toutes les opérations de la section suivante.

Un compte root et un premier utilisateur. L’installateur crée un utilisateur non privilégié et un compte root accessible par su ou, si vous l’avez choisi, par sudo. Ce second choix est documenté dans les notes de version de trixie, et c’est le seul détail que vous n’avez pas à deviner.

systemd comme système d’initialisation. Le démarrage, l’arrêt, la mise en réseau et le cycle de vie des services sont gérés par systemd. L’unité de service est le fichier qui décrit un programme qu’on veut voir tourner ; journalctl lit le journal qui enregistre ce que ce programme a fait. Le détail est traité dans la page services et journaux systemd.

Un fichier sources.list et des fichiers .sources au format deb822. Depuis Debian 12, le format par défaut dans /etc/apt/sources.list.d/ est .sources (deb822), recommandé par les notes de version de trixie. Le format historique .list reste accepté. Les deux font la même chose : indiquer à apt d’où viennent les paquets.

Trois fichiers de référence sont à connaître pour suivre l’état du système :

• /etc/os-release : nom de code, version, identifiant. À lire avant de toucher aux sources.
• /etc/debian_version : la version brute, utile dans un script.
• /var/log/apt/history.log : la trace de chaque opération apt, avec date et paquets touchés.

Comment lire et mettre à jour les paquets ?

L’usage quotidien tient en deux commandes, dans cet ordre :

sudo apt update
sudo apt upgrade

apt update interroge les dépôts configurés dans /etc/apt/sources.list.d/*.sources et rafraîchit la liste locale des paquets disponibles. apt upgrade installe les nouvelles versions des paquets déjà présents, sans en supprimer ni en installer de nouveaux, comme la page de manuel apt-get le décrit. C’est la commande du quotidien.

Trois commandes de lecture complètent utilement ce duo sans rien modifier :

apt list --upgradable
apt-cache policy nom-du-paquet
apt list --installed

La première liste ce qui attend une mise à jour ; la seconde indique, pour un paquet donné, la version installée, la version candidate et le dépôt qui la fournit ; la troisième liste ce qui est effectivement présent. Ces trois lectures précèdent toute décision : sur une machine qui ne vous sert qu’à apprendre, elles valent mieux qu’une intuition.

Quand un changement de version majeure (changement de trixie vers la prochaine version) doit se faire, ou quand des dépendances doivent bouger, la commande est différente :

sudo apt full-upgrade

La page de manuel apt le précise : full-upgrade « effectue la fonction de upgrade mais supprimera les paquets actuellement installés si c’est nécessaire pour mettre à jour le système dans son ensemble ». Avant de lancer cette commande, vous pouvez demander à apt ce qu’il compte faire sans rien modifier : les notes de version de trixie donnent la forme suivante.

sudo apt -o APT::Get::Trivial-Only=true full-upgrade

La sortie ressemble à un résumé « X mis à niveau, Y nouvellement installés, Z à supprimer, W non mis à niveau ». Lisez-le avant de répondre. Si le nombre de paquets à retirer vous surprend, arrêtez-vous et cherchez pourquoi : la commande attend votre confirmation, elle ne décide pas à votre place.

Quels dépôts configurer pour la version stable ?

Le format deb822 s’écrit dans un fichier .sources du dossier /etc/apt/sources.list.d/. L’exemple ci-dessous correspond à la configuration typique publiée par les notes de version de trixie pour un système utilisant main et non-free-firmware :

Types: deb
URIs: https://deb.debian.org/debian
Suites: trixie trixie-updates
Components: main non-free-firmware
Signed-By: /usr/share/keyrings/debian-archive-keyring.gpg

Types: deb
URIs: https://security.debian.org/debian-security
Suites: trixie-security
Components: main non-free-firmware
Signed-By: /usr/share/keyrings/debian-archive-keyring.gpg

Trois points de vigilance, repris des notes de version :

• Écrivez le nom de code (trixie, bookworm), pas stable. Avec stable, votre machine basculera de version à la sortie suivante sans que vous l’ayez choisi.
• Supprimez les anciens fichiers quand vous changez la liste des dépôts, pour ne pas garder deux définitions contradictoires.
• Pour une image réseau via le miroir le plus proche, remplacez l’URL dans la ligne URIs. Les notes signalent aussi qu’à partir de trixie, les noms de trousseaux en .gpg apparaissent comme liens de compatibilité vers des noms en .pgp.

Pour une version particulière d’un paquet, le manuel Debian décrit le mécanisme des backports : un dépôt optionnel qui publie des paquets recompilés depuis testing vers la stable courante, sans la transformer en version intermédiaire. Il se déclare dans un fichier .sources séparé, pointé vers la suite trixie-backports, et l’installation d’un paquet depuis les backports se fait avec la forme apt install nom-du-paquet/trixie-backports.

Quelle sécurité minimale pour une machine de bureau ou de laboratoire ?

Trois réglages minimaux, à vérifier une fois, puis à oublier jusqu’à la prochaine mise à jour.

Mises à jour automatiques de sécurité. Le paquet unattended-upgrades applique, sans intervention, les mises à jour de sécurité du dépôt trixie-security. Activez-le si la machine est destinée à rester allumée sans surveillance régulière : sur un poste de travail c’est un confort, sur un serveur c’est un minimum. La page du wiki Debian « UnattendedUpgrades » décrit la configuration, fichier /etc/apt/apt.conf.d/20auto-upgrades et journalisation dans /var/log/unattended-upgrades/.

Pare-feu. Une Debian stable installée par défaut n’ouvre aucun port réseau entrant. Le réglage par défaut tient donc lieu de première barrière. Quand un service doit être accessible (un serveur SSH, par exemple), il faut ouvrir explicitement le port. Deux outils cohabitent sur la distribution : nft, qui est le frontal documenté pour les noyaux récents, et iptables-nft, qui est l’interface historique. Le manuel Debian recommande aujourd’hui nft. La syntaxe et la migration sont décrites dans la page wiki « nftables ».

Surveillez ce que fait systemd. Trois commandes lisent l’état réel sans rien modifier :

systemctl list-units --type=service --state=running
systemctl --failed
journalctl -b -p err

La première liste les services en cours d’exécution ; la seconde affiche ceux dont le démarrage a échoué ; la troisième lit les erreurs du dernier démarrage dans le journal centralisé. Sur une machine qui fonctionnait hier et qui ne va plus aujourd’hui, c’est cet enchaînement qui dit où regarder en premier.

Comment diagnostiquer quand quelque chose ne va plus ?

Trois entrées distinctes, trois lectures différentes.

Le paquet qui ne s’installe pas. Consultez /var/log/apt/term.log : la sortie complète de la dernière opération y est conservée, y compris ce qui a défilé à l’écran. /var/log/apt/history.log tient le journal des changements d’état. Le paquet apt-listchanges, s’il est installé, affiche les informations importantes des paquets mis à jour dans un paginateur ; la touche q ferme celui-ci et reprend l’opération.

Le service qui ne démarre pas. systemctl status nom.service affiche les dix dernières lignes du journal pour ce service, l’état du processus, le code de sortie et la commande invoquée. journalctl -u nom.service -b borne la lecture au démarrage courant. Trois messages fréquents à reconnaître sont documentés :

L’espace disque qui se remplit. df -h affiche l’usage par système de fichiers ; du -sh /var/* résume l’usage par dossier sous /var. Le journal systemd grossit avec le temps : journalctl --disk-usage indique la taille actuelle, et journalctl --vacuum-size=200M la borne.

Cas traités ailleurs

• L’administration d’un serveur Debian en production (cluster, bascule, supervision, sauvegardes répliquées). Ces pratiques supposent des choix d’architecture non documentés ici.
• Le détail de SELinux et AppArmor, qui existent sur Debian mais ne sont pas installés par défaut. Le profil AppArmor activé par défaut sur certains services est une autre affaire : on le lit avec aa-status, on ne le réécrit pas sans motif.
• L’intégration d’un dépôt tiers (Docker, NodeSource, etc.). Toute source ajoutée hors des fichiers publiés par Debian engage votre responsabilité sur la confiance du miroir et sur l’authenticité de la clé de signature. Le wiki Debian « SourcesList » liste les écueils classiques.

Si une commande a un effet inattendu, c’est un état à lire (journalctl, /var/log/apt/history.log, état d’un service) et pas à forcer. Une Debian qui refuse une mise à jour a souvent une raison documentée, et c’est cette raison qui décide du geste suivant.

Repères pour aller plus loin

Pour approfondir ce qui est cité ici :

• le guide Linux et terminal rassemble les pages de l’univers Linux de ce site ;
• Debian : installer et mettre à jour un système stable pour le moment installation et la vérification d’image ;
• les commandes de base pour les gestes sûrs dans un terminal ;
• les permissions et utilisateurs pour comprendre qui peut écrire où ;
• les services et journaux systemd pour lire ce que fait une unité après un redémarrage ;
• diagnostiquer une connexion quand le réseau ne répond plus.

Administrer Debian au quotidien, c’est surtout tenir une chaîne documentaire à jour : la version installée, les dépôts configurés, les services en exécution, et les gestes minimum pour que la machine ne dérive pas.