/paquets/index.md

Gestion des paquets

Le gestionnaire app : simple en surface, rigoureux en dessous.

Comment fonctionnent les paquets LFSi

Un paquet LFSi est un port source : une recette qui décrit comment récupérer le code source officiel d'un logiciel, le vérifier, le patcher et le compiler. La compilation est faite par la chaîne de fabrication LFSi (pas sur votre serveur — un système de production n'a pas à héberger de compilateur), et le résultat — signé, accompagné de sa SBOM — est publié sur le dépôt.

Sur votre machine, les applications vivent à part du système (sous /opt/apps) : installer ou retirer un paquet ne touche jamais au système de base.

Les commandes du quotidien

app update                 # rafraîchir les index des dépôts
app search <motif>         # chercher une application
app info <nom>             # tout savoir sur un paquet
app install <nom>          # installer (vérifié, transactionnel)
app remove <nom>           # désinstaller proprement
app list                   # ce qui est installé
app list --available       # ce qui est disponible
app upgrade                # tout mettre à jour
app upgrade <nom>          # mettre à jour un paquet
app verify <nom>           # vérifier l'intégrité des fichiers installés
app hold <nom>             # geler une version (unhold pour dégeler)

Astuces : - --dry-run montre le plan d'une opération sans rien exécuter ; - --json produit une sortie exploitable par vos scripts ; - tout est aussi faisable depuis l'interface web (menu Paquets) et le menu console.

Ce qui se passe à l'installation (et pourquoi c'est sûr)

La signature du paquet et son empreinte sont vérifiées — sans signature valide, rien ne s'installe.
Les dépendances sont résolues, la compatibilité avec votre version du système et votre architecture est contrôlée.
L'installation est transactionnelle : si quoi que ce soit échoue en cours de route, le système revient exactement à son état précédent.
Si l'application doit ouvrir un port réseau, ce port est déclaré dans le paquet : la règle de pare-feu est créée explicitement dans la zone service — et retirée à la désinstallation. Jamais d'ouverture silencieuse.
Tout est consigné dans la base d'état (/var/lib/appdb/) : fichiers installés et leurs empreintes, manifeste, SBOM.

Les applications « configurables »

Certains paquets (Apache, nginx, MariaDB, PostgreSQL…) embarquent un panneau d'administration : à l'installation, il apparaît automatiquement dans le menu Applications de l'interface web — configuration, actions (redémarrer, recharger, état, journaux). C'est ce panneau que vous pouvez déléguer à un administrateur applicatif (voir Guide d'administration).

Les dépôts

Le dépôt d'abonnement (en ligne) : accessible avec votre jeton, géré dans Mises à jour → Abonnement & jeton.
Un dépôt local (hors ligne) : pour les environnements isolés, importez les paquets signés — la vérification est exactement la même.
Dans tous les cas, l'index du dépôt est signé, chaque paquet est signé, et le jeton d'abonnement ne dispense jamais de ces vérifications.

Questions fréquentes

Puis-je installer un .rpm ou un .deb ? Non — et c'est un choix : seuls les paquets construits et signés par la chaîne LFSi sont installables. C'est ce qui garantit la traçabilité de bout en bout.

Un paquet peut-il casser mon système ? L'installation ne touche pas au système de base, elle est transactionnelle, et app verify permet à tout moment de contrôler l'intégrité de ce qui est installé.

Comment demander un nouveau paquet ? Contactez la LFSi team via git.sourcitec.com.