Administrar paquetes snap en Ubuntu: actualizaciones, retenciones, confinamiento y eliminación segura

Qué es

Snap es el formato de paquete y el demonio propios de Ubuntu (snapd); no existe por defecto en Debian. snap list muestra los snaps instalados junto con su canal de seguimiento, su revisión y cualquier nota (como held); snap info <name> muestra qué canales y confinamiento ofrece un snap concreto antes de instalarlo.

Por qué importa

A diferencia de los paquetes apt, los snaps se actualizan solos según un calendario en segundo plano que el administrador no necesariamente activó — por defecto, «programados para actualizarse cuatro veces al día» —, lo cual importa para el control de cambios en un servidor donde una actualización de aplicación no planificada no es bienvenida, y el confinamiento importa porque un snap con acceso amplio al sistema anula buena parte del aislamiento que el formato pretende ofrecer.

Cómo aplicarlo

• Inspeccionar el calendario de actualización actual y cualquier retención con snap refresh --time y snap list (un snap retenido muestra held en la columna Notes).
• Para pausar actualizaciones de un snap, indefinidamente o durante un periodo fijo: snap refresh --hold=<name> o snap refresh --hold=24h <name>; la retención «mantiene o pospone las actualizaciones de snaps para snaps individuales, o para todos los snaps del sistema». Liberarla con snap refresh --unhold <name>.
• Para una política aplicable a todo el parque de máquinas en lugar de retenciones por snap, establecer las opciones del sistema refresh.timer (calendario personalizado) o refresh.hold (retrasar todas las actualizaciones hasta una fecha/hora RFC 3339 determinada) con snap set system refresh.hold="2026-10-01T00:00:00Z".
• Antes de instalar un snap que necesite acceso elevado, comprobar su confinamiento: snap info <name> indica strict, classic o devmode. El «nivel de confinamiento de un snap controla el grado de aislamiento que tiene respecto al sistema del usuario»; los snaps classic se ejecutan sin ningún tipo de aislamiento y deben tratarse como cualquier otra instalación de paquete sin confinar.
• Para diagnosticar un snap que se comporta mal, leer su propio flujo de registro: journalctl filtrado a la unidad del snap, o instalar la herramienta auxiliar (snap install snappy-debug) y ejecutar sudo journalctl --output=short --follow --all | sudo snappy-debug para traducir las denegaciones de AppArmor relacionadas con el confinamiento de snap a una explicación legible.
• Para eliminar un snap: snap remove <name>. Por defecto esto conserva una instantánea de los datos de usuario, del sistema y de configuración del snap, «retenida durante 31 días», de modo que una eliminación por error es recuperable mediante snap saved/snap restore; añadir --purge para omitir la instantánea y eliminarlo todo de inmediato.

Trampas

• Retener un snap también retiene sus correcciones de seguridad; revisar las retenciones periódicamente igual que se haría con un apt-mark hold.
• Los límites de retención han cambiado entre versiones de snapd: las versiones antiguas limitaban refresh.hold a 90 días, mientras que el snapd actual también admite retenciones abiertas (snap refresh --hold sin duración, o refresh.hold=forever). Comprobar snap version y la documentación del release instalado antes de confiar en cualquiera de los dos comportamientos.
• El confinamiento classic es opcional por snap y requiere el indicador --classic en el momento de instalar; un script que añade --classic sin más para evitar un mensaje de error está concediendo acceso completo al sistema, no solo sorteando una peculiaridad del aislamiento.