Mettre à jour son VPS sans rien casser

Un VPS jamais mis à jour, c'est une porte ouverte : la majorité des compromissions exploitent des failles corrigées depuis des mois. Mais une mise à jour lancée à la va-vite un vendredi soir, c'est aussi le meilleur moyen de casser sa prod. Voici la méthode pour concilier les deux.

Comprendre ce qu'on met à jour

Sur Debian et Ubuntu, distinguez trois niveaux :

• Les mises à jour de sécurité : correctifs de failles. À appliquer vite, presque toujours sans risque.
• Les mises à jour de paquets : nouvelles versions des logiciels. Risque faible, mais lisez ce qui change pour vos services critiques.
• La montée de version de la distribution (Debian 12 vers 13...) : opération lourde, à planifier sérieusement.

La routine saine

1. Snapshot ou sauvegarde d'abord. Sur nos VPS, un snapshot se prend en un clic depuis l'espace client : c'est votre bouton « annuler » universel.
2. Voyez ce qui va changer : apt update puis apt list --upgradable. Un kernel ou une libc dans la liste ? Prévoyez un redémarrage.
3. Mettez à jour : apt upgrade, en lisant ce que l'outil propose (surtout les questions sur les fichiers de configuration modifiés).
4. Vérifiez vos services : un tour de systemctl status sur vos services critiques et un test applicatif rapide.
5. Redémarrez si nécessaire : le fichier /var/run/reboot-required vous le dit. Un kernel patché non rebooté ne protège pas.

Automatiser la sécurité, pas le reste

Le paquet unattended-upgrades applique automatiquement les correctifs de sécurité, et seulement eux. C'est le bon compromis : les failles se bouchent toutes seules, les changements risqués restent sous votre contrôle. Configurez aussi la notification par mail pour savoir ce qui a été appliqué.

Les erreurs qui coûtent cher

• Mettre à jour sans sauvegarde : le jour où ça casse, vous n'avez plus d'issue de secours.
• Accepter aveuglément les nouveaux fichiers de config : apt peut écraser votre configuration nginx ou SSH soigneusement réglée. Comparez toujours avant de répondre.
• Laisser traîner le redémarrage kernel pendant des semaines : la faille reste exploitable.
• Tout faire un vendredi à 18h : les mises à jour se font quand vous avez le temps de réparer.

Avec des snapshots à portée de clic et cette routine, la mise à jour devient un non-événement de dix minutes. Nos VPS sont livrés prêts pour cette hygiène de base.