Épinglage APT : maintenir un paquet sur une version ou une source choisie grâce aux fichiers de préférences

Ce que c'est

APT attribue à chaque version candidate de chaque paquet une priorité numérique ("Pin-Priority") ; lorsque plusieurs sources proposent un même paquet, la candidate de plus haute priorité l'emporte. /etc/apt/preferences et les fichiers fragments placés dans /etc/apt/preferences.d/ définissent des priorités explicites par paquet, par motif de noms de paquets ou pour une origine entière : c'est ce que la documentation d'APT appelle "pinning" (épinglage). apt-mark hold/unhold est un mécanisme distinct et plus simple, qui exclut simplement un paquet de toute opération upgrade ou dist-upgrade, quelle que soit sa priorité.

Pourquoi c'est important

Sans épinglage, l'ajout d'un second dépôt (une suite backports, un équivalent de PPA fourni par un éditeur, une branche testing) peut mettre à jour silencieusement des paquets sans rapport lors du prochain apt upgrade, car APT privilégie par défaut la source qui propose la version la plus élevée. L'épinglage limite ce risque aux seuls paquets que l'administrateur désigne.

Comment l'appliquer

• Créer un fichier par usage dans /etc/apt/preferences.d/, par exemple /etc/apt/preferences.d/pin-nginx :

  Package: nginx
  Pin: version 1.25.*
  Pin-Priority: 900
  

  Une priorité supérieure à 1000 irait jusqu'à forcer un retour à une version antérieure ; une valeur de 100 à 500 reste en concurrence avec la candidate habituelle ; une valeur négative empêche totalement l'installation.
• Pour privilégier une suite entière (par exemple bookworm-backports) uniquement pour certains paquets nommés, épingler avec Pin: release a=bookworm-backports au lieu d'une version.
• Vérifier l'effet avant toute installation avec apt-cache policy <package> ; la page de manuel indique que cette commande "is meant to help debug issues relating to the preferences file" (sert à diagnostiquer les problèmes liés au fichier de préférences) et elle affiche la priorité de chaque candidate disponible.
• Pour un paquet qui ne doit jamais bouger, quelle que soit sa priorité, utiliser apt-mark hold <package> plutôt qu'un fichier de préférences ; apt-mark showhold liste tous les paquets actuellement figés et apt-mark unhold <package> annule l'opération. apt-mark est lui-même documenté comme un outil pour "show, set and unset various settings for a package" (afficher, définir et supprimer divers réglages d'un paquet).
• En usage non interactif, aucun indicateur particulier n'est nécessaire pour l'un ou l'autre mécanisme : les deux prennent effet immédiatement pour la prochaine exécution d'apt, sans redémarrage ni nouvelle connexion.

Pièges

• Un fichier de préférences contenant une faute de frappe dans la ligne Package: ou Pin: est ignoré silencieusement au lieu d'être rejeté : toujours vérifier avec apt-cache policy après l'avoir écrit.
• apt-mark hold bloque aussi les mises à jour de sécurité de ce paquet ; il convient de l'accompagner d'un rappel écrit pour réexaminer le blocage régulièrement.
• Les épinglages de priorité et les blocages sont indépendants : un blocage subsiste même si un fichier de préférences est supprimé par la suite, et inversement.