Ajouter un dépôt APT tiers selon la méthode actuelle : fichiers .sources deb822 et trousseaux Signed-By

Objectif

Ajouter un dépôt APT tiers sur Debian 12/13 ou Ubuntu 22.04/24.04 sans passer par le trousseau de confiance global, désormais obsolète, et vérifier la clé de signature avant de lui accorder sa confiance.

Prérequis

La clé de signature publique de l'éditeur (dont l'empreinte peut être contrôlée par un canal indépendant), l'URL du dépôt et le nom de la suite ; gnupg installé pour convertir la clé au format binaire.

Étapes

1. Créer le répertoire des trousseaux s'il n'existe pas : install -d -m 0755 /etc/apt/keyrings.
2. Récupérer la clé de l'éditeur et la convertir au format binaire, sans jamais l'ajouter à l'ancien magasin de confiance du système : curl -fsSL https://example.org/apt/key.asc | gpg --dearmor -o /etc/apt/keyrings/example.gpg.
3. Avant de lui faire confiance, afficher l'empreinte et la comparer à celle que l'éditeur publie par un autre canal : gpg --show-keys --with-fingerprint /etc/apt/keyrings/example.gpg.
4. Écrire la définition du dépôt. La forme moderne, deb822, se place dans /etc/apt/sources.list.d/example.sources (l'extension .sources indique ce format ; sources.list(5) documente à la fois le « one line style » (style sur une ligne) et les blocs multilignes « deb822 style ») :

   Types: deb
   URIs: https://example.org/apt
   Suites: stable
   Components: main
   Signed-By: /etc/apt/keyrings/example.gpg
   

   L'équivalent classique sur une ligne, dans un fichier .list, est deb [signed-by=/etc/apt/keyrings/example.gpg] https://example.org/apt stable main.
5. Ne pas utiliser apt-key add : la page de manuel d'apt-key indique que son usage « is deprecated, except for the use of apt-key del in maintainer scripts » (est obsolète, sauf pour apt-key del dans les scripts de mainteneur) et recommande de placer un trousseau directement dans un répertoire keyrings/trusted.gpg.d, ce que font précisément les étapes 1 à 4.
6. Actualiser et vérifier : apt-get update doit mentionner la nouvelle source sans avertissement « NO_PUBKEY », puis apt-cache policy <a package from that repo> doit la faire apparaître comme candidate.

Résultat attendu

apt-get update se termine sans avertissement de clé manquante et le paquet est installable depuis la nouvelle source ; apt-cache policy affiche l'origine épinglée.

Limites et base de vérification

Contrairement à l'ancien trousseau de confiance global, Signed-By limite la confiance exactement à cette entrée de dépôt. Si plusieurs fichiers .sources ou .list référencent le même fichier de clé, supprimer la clé les rend tous inopérants d'un coup. Pour annuler, supprimer le fichier .sources ou .list ainsi que le fichier de trousseau, puis relancer apt-get update ; aucun redémarrage n'est nécessaire.