Rédigé par Rédaction CyberSDF / 15 septembre 2026

Debian : installer et mettre à jour un système stable

Pour installer Debian, partez d’une image officielle de la version stable, Debian 13 « trixie », dont la dernière version de maintenance est 13.6, publiée le 11 juillet 2026, vérifiez son empreinte, puis suivez l’installateur avec une sauvegarde à jour. Pour mettre à jour une installation existante, la séquence documentée est apt update, puis apt upgrade, et apt full-upgrade quand des dépendances doivent changer. Les commandes qui suivent décrivent ces opérations : aucune n’est exécutée à votre place.

Le cycle de vie de Debian 13 est de cinq ans : trois ans de support complet, puis deux ans de support à long terme. Les commandes citées ici viennent du guide d’installation Debian 13, des notes de version de trixie et des pages de manuel du système. Elles sont reproduites telles quelles, avec leur effet réel, y compris quand cet effet est une suppression de paquets.

Quelle version de Debian installer aujourd’hui ?

La version stable de Debian est Debian 13, de nom de code « trixie ». Deux dates la situent : Debian 13.0 est sortie le 9 août 2025, et la version de maintenance 13.6 date du 11 juillet 2026. C’est cette branche que vous installez si vous voulez la maintenance de sécurité normale.

Son cycle de vie est publié : trois ans de support complet jusqu’au 9 août 2028, puis deux ans de support à long terme jusqu’au 30 juin 2030. Pendant cette seconde période, l’ensemble des architectures prises en charge est réduit, un détail qui compte si vous installez sur autre chose que les architectures courantes.

Un point de vocabulaire important pour la suite : une version Debian peut être désignée par son nom de code (trixie, bookworm) ou par son statut (stable, oldstable, testing). Les notes de version recommandent explicitement le nom de code, pour une raison simple : avec le statut, vous voyez arriver d’un coup les mises à jour d’une nouvelle version au moment de sa sortie, sans l’avoir décidé. Avec le nom de code, vous choisissez votre moment, mais vous devez surveiller les annonces vous-même.

Comment installer Debian pour la première fois ?

L’installation officielle suit un guide d’installation qui mérite d’être lu avant de commencer. Elle tient en cinq étapes :

1. Obtenir l’image. Les images d’installation officielles sont publiées sur debian.org/CD, avec les fichiers d’empreintes qui vont avec.
2. Vérifier l’image. Guide d’installation, section 4.7 « Verifying the integrity of installation files » : on compare le résultat de sha256sum ou sha512sum au contenu du fichier SHA256SUMS ou SHA512SUMS fourni par Debian.
3. Préparer un support amorçable. Le guide décrit la préparation d’une clé USB à partir d’une image hybride. Cette étape écrase tout le contenu du support : identifiez d’abord le bon périphérique avec lsblk, qui liste les disques et leurs points de montage, et sauvegardez ce que contient la clé.
4. Démarrer l’installateur. Le guide détaille le démarrage depuis une clé USB sur PC 64 bits, ainsi que les cas UEFI et Secure Boot.
5. Installer. Le programme d’installation pose les questions dans l’ordre : langue, réseau, partitionnement, comptes, sélection des logiciels.

Trois précautions viennent du guide lui-même, avant tout partitionnement :

• Sauvegarder. Le chapitre 3.2 du guide s’intitule « Back Up Your Existing Data! », c’est la première recommandation de la documentation Debian, pas un ajout du parcours qui suit.
• Préparer un multi-démarrage. Si un autre système occupe déjà le disque, le guide décrit un pré-partitionnement (section 3.5) qui évite de découvrir le problème pendant l’installation.
• Regarder le firmware. Les sections 3.6.3 à 3.6.5 couvrent UEFI, Secure Boot, et la désactivation du « fast startup » de Windows, qui empêche l’accès normal au disque.

Le guide d’installation complet, en anglais, est publié par l’équipe Debian Installer : dernière compilation consultée, 20250803+deb13u1 pour amd64, et il décrit la Debian 13. Une version française existe, accessible depuis la même page.

Comment vérifier l’image avant de la graver ?

C’est l’étape que l’on saute le plus souvent, et celle qui coûte le moins cher. Debian publie, à côté de chaque image, un fichier SHA256SUMS (et un fichier SHA512SUMS). La procédure documentée consiste à calculer l’empreinte du fichier téléchargé :

sha256sum fichier.iso

puis à comparer le résultat, caractère par caractère, à la ligne correspondante du fichier SHA256SUMS. Le guide mentionne aussi le script check_debian_iso, cité par la FAQ de Debian sur les CD, pour automatiser la comparaison et vérifier l’authenticité des fichiers d’empreintes.

Deux issues, deux gestes :

• l’empreinte correspond : le fichier est identique à celui publié, vous pouvez préparer le support ;
• l’empreinte diffère : le téléchargement est incomplet ou altéré. Retéléchargez. Graver une image non vérifiée et l’installer revient à installer un système dont vous ne savez rien.

Comment mettre à jour une installation existante ?

Toutes les commandes de cette section demandent les droits d’administration : sur une machine de bureau, sudo vous demandera votre mot de passe ; sur un serveur, vous travaillez souvent dans un shell root. sudo est ici justifié par le fait que apt écrit dans la base de paquets du système, sans ces droits, la commande échoue.

La mise à jour quotidienne tient en deux commandes, dans cet ordre :

sudo apt update\\nsudo apt upgrade

apt update rafraîchit la liste des paquets disponibles auprès des dépôts configurés. apt upgrade installe ensuite les nouvelles versions. La page de manuel apt-get décrit précisément ce que fait cette seconde commande : elle installe les versions les plus récentes des paquets déjà présents, sans jamais en supprimer ni en installer de nouveaux, et les paquets qui ne peuvent pas être mis à jour sans changer le statut d’installation d’un autre paquet sont laissés à leur version courante.

Deux commandes de lecture complètent utilement ce duo :

apt list --upgradable\\napt-cache policy nom-du-paquet

La première liste les paquets en attente de mise à jour ; la seconde indique, pour un paquet donné, la version installée, la version candidate et le dépôt qui la fournit.

Enfin, apt journalise ses opérations : les changements d’état sont écrits dans /var/log/apt/history.log et la sortie du terminal dans /var/log/apt/term.log. dpkg tient en plus /var/log/dpkg.log. En cas de doute sur ce qui s’est passé pendant une mise à jour, c’est là qu’on lit les faits.

Quand faut-il utiliser apt full-upgrade plutôt que apt upgrade ?

La différence est documentée et elle est importante. La page de manuel apt dit de full-upgrade qu’elle « effectue la fonction de upgrade mais supprimera les paquets actuellement installés si c’est nécessaire pour mettre à jour le système dans son ensemble ». La page apt-get décrit l’équivalent historique, dist-upgrade : elle gère en plus les changements de dépendances et peut donc retirer des paquets.

En clair :

• apt upgrade ne retire rien. C’est la commande du quotidien.
• apt full-upgrade peut retirer des paquets. C’est la commande des changements de version, quand les dépendances bougent réellement.

Avant de lancer un apt full-upgrade, vous pouvez demander à apt ce qu’il compte faire sans rien modifier. Les notes de version de trixie donnent cette forme :

sudo apt -o APT::Get::Trivial-Only=true full-upgrade

La sortie ressemble à un résumé du type « XXX upgraded, XXX newly installed, XXX to remove and XXX not upgraded », suivi de l’espace disque nécessaire. Lisez ce résumé avant de répondre. Si le nombre de paquets à retirer vous surprend, arrêtez-vous et cherchez pourquoi, la commande attend votre confirmation, elle ne décide pas à votre place.

Comment préparer une montée de version majeure ?

Une montée de version change les dépôts, donc la suite est ordonnée.

D’abord, la condition de départ : les notes de version de trixie indiquent que seule une mise à niveau depuis Debian 12 « bookworm » est prise en charge, et que le système doit être en Debian « pur », c’est-à-dire sans dépôts tiers ni paquets venus d’ailleurs. Pour afficher votre version :

cat /etc/debian_version

Ensuite, la préparation. Les notes listent trois nettoyages utiles : retirer les paquets obsolètes, supprimer les paquets qui ne viennent pas de Debian, repérer les fichiers de configuration restants. La commande proposée pour lister les paquets d’origine non Debian est :

apt list '?narrow(?installed, ?not(?origin(Debian)))'

Puis on réécrit les sources pour la nouvelle version (section suivante), on lance apt update, on procède à une mise à niveau minimale, et enfin à la mise à niveau complète :

sudo apt update\\nsudo apt upgrade --without-new-pkgs\\nsudo apt full-upgrade

L’étape intermédiaire --without-new-pkgs est recommandée par les notes de version : elle met à jour ce qui peut l’être sans rien retirer ni installer, ce qui évite qu’une mise à niveau complète lance d’un coup la suppression d’un grand nombre de paquets.

Notez enfin que apt s’adresse à un usage interactif : dans un script, la documentation recommande apt-get, dont la sortie est stable et faite pour être analysée.

Comment écrire des sources APT au format deb822 ?

Depuis Debian 12, le format par défaut livré dans /etc/apt/sources.list.d/ est celui des fichiers .sources au format deb822. Ce format est pris en charge par apt depuis Debian 11 (bullseye) et recommandé par les notes de version depuis Debian 13 (trixie) ; les fichiers .list au format historique restent acceptés. Les notes de version de trixie donnent la configuration typique pour un système en main et non-free-firmware, dans /etc/apt/sources.list.d/debian.sources :

Types: deb\\nURIs: https://deb.debian.org/debian\\nSuites: trixie trixie-updates\\nComponents: main non-free-firmware\\nSigned-By: /usr/share/keyrings/debian-archive-keyring.gpg\\n\\nTypes: deb\\nURIs: https://security.debian.org/debian-security\\nSuites: trixie-security\\nComponents: main non-free-firmware\\nSigned-By: /usr/share/keyrings/debian-archive-keyring.gpg

Trois points de vigilance :

• Écrivez le nom de code, pas stable. Sinon votre machine basculera de version au moment de la sortie suivante, sans que vous l’ayez choisi.
• Supprimez les anciens fichiers de sources pour ne pas avoir deux définitions contradictoires.
• Si vous préférez un miroir proche, remplacez l’URL dans la ligne URIs. Les notes signalent aussi qu’à partir de trixie, les noms de trousseaux en .gpg sont des liens de compatibilité vers des noms en .pgp.

Que faire quand une mise à jour ne passe pas ?

Trois situations documentées, trois lectures.

Des paquets « held back ». La page de manuel apt-get l’explique : un paquet dont la mise à jour exigerait de modifier le statut d’installation d’un autre paquet reste à sa version courante. Ce n’est pas une erreur, c’est une retenue. Pour le débloquer, les notes de version suggèrent d’installer explicitement le paquet concerné (apt install nom-du-paquet) ou de passer par aptitude pour choisir la résolution.

Une erreur « Could not perform immediate configuration ». Les notes de version citent ce message et donnent un contournement documenté : relancer la même étape avec l’option -o APT::Immediate-Configure=0. C’est une option de dépannage connue, pas une modification de configuration permanente.

Un doute sur ce qui s’est passé. Relisez /var/log/apt/term.log : la sortie complète y est conservée, y compris ce qui a défilé à l’écran. Le changement d’état des paquets est dans history.log. Si le paquet apt-listchanges est installé, les informations importantes des paquets mis à jour s’affichent dans un paginateur après téléchargement : la touche q ferme celui-ci et poursuit l’opération.

Le geste à éviter : forcer. Retirer à la main des paquets essentiels ou ignorer un avertissement de dépendance transforme une mise à jour qui a échoué proprement en système qui ne démarre plus. Une mise à jour interrompue est un état à lire, pas à forcer.

apt ou apt-get : lequel utiliser ?

Les notes de version de trixie sont explicites : apt est destiné à un usage interactif, et il ne faut pas l’utiliser dans un script. Dans un script, on utilise apt-get, dont la sortie est stable et analysable. Cette distinction n’est pas une préférence de style : c’est la position de la documentation Debian.

Faut-il encore écrire dist-upgrade ?

dist-upgrade est le nom historique, côté apt-get, de la commande qui gère les changements de dépendances et peut retirer des paquets. La commande apt full-upgrade en est l’équivalent moderne côté apt. Les deux existent, mais les notes de version de trixie n’emploient que apt full-upgrade dans leur procédure de mise à niveau.

Repères pour aller plus loin

Pour comprendre les commandes utilisées ici :

• le guide Linux et terminal rassemble l’univers Linux de ce site ;
• les commandes de base pour se repérer dans un terminal sans risque ;
• le guide de survie en ligne de commande pour les gestes d’urgence ;
• les permissions et utilisateurs pour comprendre qui peut écrire où ;
• les services et journaux systemd pour lire ce qui se passe après un redémarrage.

Installer et mettre à jour ne sont pas deux sujets séparés : c’est la même chaîne documentaire, lue à deux moments de la vie de la machine.