Añadir un repositorio APT de terceros de la forma actual: archivos .sources deb822 y llaveros con Signed-By

Objetivo

Añadir un repositorio APT de terceros en Debian 12/13 o Ubuntu 22.04/24.04 sin usar el llavero de confianza global del sistema, ya obsoleto, y verificar la clave de firma antes de confiar en ella.

Requisitos previos

La clave pública de firma del proveedor (una huella que se pueda comprobar por un canal aparte) y la URL de su repositorio o el nombre de la suite; gnupg instalado para desarmar (dearmor) la clave.

Pasos

1. Crear el directorio de llaveros si no existe: install -d -m 0755 /etc/apt/keyrings.
2. Descargar y convertir la clave del proveedor a formato binario, sin añadirla nunca al antiguo almacén de confianza del sistema: curl -fsSL https://example.org/apt/key.asc | gpg --dearmor -o /etc/apt/keyrings/example.gpg.
3. Antes de confiar en ella, imprimir la huella y compararla con el valor publicado por el proveedor a través de un canal aparte: gpg --show-keys --with-fingerprint /etc/apt/keyrings/example.gpg.
4. Escribir la definición del repositorio. La forma moderna deb822 va en /etc/apt/sources.list.d/example.sources (la extensión .sources selecciona este formato; sources.list(5) documenta tanto el estilo «de una línea» como el estilo multilínea «deb822»):

   Types: deb
   URIs: https://example.org/apt
   Suites: stable
   Components: main
   Signed-By: /etc/apt/keyrings/example.gpg
   

   El equivalente clásico de una línea en un archivo .list es deb [signed-by=/etc/apt/keyrings/example.gpg] https://example.org/apt stable main.
5. No usar apt-key add: la página de manual de apt-key indica que su uso «está obsoleto, salvo el uso de apt-key del en scripts de mantenedor», y recomienda en su lugar colocar un llavero directamente bajo un directorio keyrings/trusted.gpg.d, que es exactamente lo que hacen los pasos 1 a 4.
6. Actualizar y verificar: apt-get update debería mencionar la nueva fuente sin ninguna advertencia «NO_PUBKEY», y luego apt-cache policy <a package from that repo> debería mostrarlo como candidato.

Resultado esperado

apt-get update se completa sin una advertencia de clave ausente, y el paquete se puede instalar desde la nueva fuente; apt-cache policy muestra el origen fijado (pinned).

Límites y base de verificación

Signed-By limita la confianza exactamente a esa línea de repositorio, a diferencia del antiguo llavero de confianza global; si varios archivos .sources/.list hacen referencia al mismo archivo de clave, eliminar la clave los rompe a todos a la vez. Para deshacerlo, eliminar el archivo .sources/.list y el archivo de llavero, y volver a ejecutar apt-get update — no se necesita reiniciar.