Mises à jour de sécurité automatiques sur un VPS Linux

sudo apt update
sudo apt install unattended-upgrades

sudo tee /etc/apt/apt.conf.d/20auto-upgrades >/dev/null <<'EOF'
APT::Periodic::Update-Package-Lists "1";
APT::Periodic::Unattended-Upgrade "1";
EOF

sudo tee /etc/apt/apt.conf.d/52unattended-upgrades-local >/dev/null <<'EOF'
// Debian : uniquement l'archive de sécurité
#clear Unattended-Upgrade::Origins-Pattern;
Unattended-Upgrade::Origins-Pattern {
        "origin=Debian,codename=${distro_codename},label=Debian-Security";
        "origin=Debian,codename=${distro_codename}-security,label=Debian-Security";
};
EOF

apt-cache policy | grep release

sudo tee -a /etc/apt/apt.conf.d/52unattended-upgrades-local >/dev/null <<'EOF'
// Redémarre seulement si /var/run/reboot-required existe
Unattended-Upgrade::Automatic-Reboot "true";
// Redémarre même si quelqu'un est connecté en SSH
Unattended-Upgrade::Automatic-Reboot-WithUsers "true";
// Heure locale du redémarrage, passée à shutdown
Unattended-Upgrade::Automatic-Reboot-Time "03:30";
EOF

sudo systemctl edit apt-daily-upgrade.timer

[Timer]
# La ligne vide efface l'horaire d'origine
OnCalendar=
OnCalendar=*-*-* 02:00

sudo systemctl restart apt-daily-upgrade.timer

sudo tee -a /etc/apt/apt.conf.d/52unattended-upgrades-local >/dev/null <<'EOF'
Unattended-Upgrade::Mail "admin@example.com";
// always, only-on-error, on-change (défaut)
Unattended-Upgrade::MailReport "on-change";
EOF

sudo apt install bsd-mailx
echo "test" | mail -s "Test depuis $(hostname)" admin@example.com

# Simulation complète, rien n'est installé
sudo unattended-upgrade -v --dry-run

# Prochaines exécutions des deux minuteurs
systemctl list-timers apt-daily.timer apt-daily-upgrade.timer

# Ce qui s'est passé lors des dernières exécutions
sudo journalctl -u apt-daily-upgrade.service --since "7 days ago"
sudo tail -n 50 /var/log/unattended-upgrades/unattended-upgrades.log

# Un redémarrage est-il en attente ?
test -f /var/run/reboot-required && echo "Redémarrage requis" || echo "Aucun redémarrage requis"

sudo dnf install dnf-automatic

[commands]
# Uniquement les mises à jour accompagnées d'un avis de sécurité
upgrade_type = security
download_updates = yes
apply_updates = yes
# never (défaut), when-changed (après toute mise à jour)
# ou when-needed (seulement si nécessaire : noyau, systemd...)
reboot = when-needed
# Valeur par défaut : redémarrage 5 minutes après la mise à jour
reboot_command = "shutdown -r +5 'Rebooting after applying package updates'"

[emitters]
emit_via = stdio,email

[email]
email_from = root@vps.example.com
email_to = admin@example.com
email_host = localhost

sudo systemctl edit dnf-automatic.timer

[Timer]
OnCalendar=
OnCalendar=*-*-* 03:00

sudo systemctl enable --now dnf-automatic.timer

# Avis de sécurité en attente
sudo dnf updateinfo list --security

# Simulation : affiche la transaction puis répond non
sudo dnf upgrade --security --assumeno

# Prochaine exécution du minuteur
systemctl list-timers 'dnf-automatic*'

# Rapports des dernières exécutions
sudo journalctl -u dnf-automatic.service --since "7 days ago"

# Code 1 : un redémarrage est nécessaire (fourni par dnf-plugins-core)
sudo dnf needs-restarting -r