APT pinning: mantener un paquete en una versión u origen concreto con archivos de preferencias

Qué es

APT asigna una prioridad numérica ("Pin-Priority") a cada versión candidata de cada paquete; cuando varias fuentes ofrecen un paquete, gana el candidato con la prioridad más alta. /etc/apt/preferences y los archivos fragmento de /etc/apt/preferences.d/ fijan prioridades explícitas por paquete, por patrón de paquetes (glob) o por origen completo; esto es lo que la propia documentación de APT llama "pinning". apt-mark hold/unhold es un mecanismo distinto y más sencillo: simplemente excluye un paquete de cualquier upgrade o dist-upgrade, sea cual sea su prioridad.

Por qué importa

Sin pinning, añadir un segundo repositorio (una suite de backports, el equivalente de un PPA de un proveedor, un pocket de testing) puede actualizar sin aviso paquetes que nada tienen que ver la próxima vez que se ejecute apt upgrade, porque por defecto APT prefiere la fuente que ofrece la versión más alta. El pinning limita ese riesgo exactamente a los paquetes que el operador indique.

Cómo aplicarlo

• Crea un archivo por propósito en /etc/apt/preferences.d/, por ejemplo /etc/apt/preferences.d/pin-nginx:

  Package: nginx
  Pin: version 1.25.*
  Pin-Priority: 900
  

  Una prioridad superior a 1000 llegaría a forzar incluso una degradación de versión; un valor entre 100 y 500 compite con el candidato normal; un valor por debajo de 0 impide la instalación por completo.
• Para preferir una suite entera (por ejemplo bookworm-backports) solo para paquetes concretos, fija Pin: release a=bookworm-backports en lugar de una versión.
• Antes de instalar nada, comprueba el efecto con apt-cache policy <package>, que según su página de manual "is meant to help debug issues relating to the preferences file" (sirve para depurar problemas relacionados con el archivo de preferencias) e imprime la prioridad de cada candidato disponible.
• Para un paquete que no debe moverse nunca, sea cual sea su prioridad, usa apt-mark hold <package> en lugar de un archivo de preferencias; apt-mark showhold lista todo lo que está retenido en ese momento y apt-mark unhold <package> lo revierte. La documentación describe apt-mark como una herramienta para "show, set and unset various settings for a package" (mostrar, establecer y quitar diversos ajustes de un paquete).
• El uso no interactivo no requiere ningún indicador especial en ninguno de los dos mecanismos; ambos surten efecto de inmediato en la siguiente ejecución de apt, sin reiniciar ni volver a iniciar sesión.

Trampas

• Un archivo de preferencias con un error tipográfico en la línea Package: o Pin: se ignora en silencio en lugar de rechazarse; confirma siempre con apt-cache policy después de escribirlo.
• apt-mark hold bloquea también las actualizaciones de seguridad de ese paquete; conviene acompañarlo de un recordatorio escrito para revisar la retención periódicamente.
• Las prioridades de pinning y las retenciones son independientes: una retención persiste aunque después se elimine un archivo de preferencias, y viceversa.