À quoi ça sert. apt.secubox.in est le dépôt Debian signé d'où les box se mettent à jour. Cette page décrit son organisation, comment un paquet y entre, pourquoi une version doit toujours monter, et comment la clé de signature est déverrouillée.

Côté client :

curl -fsSL https://apt.secubox.in/install.sh | sudo bash
sudo apt install secubox-lite      # ou secubox-isp, secubox-full

Le script installe le trousseau et ajoute deb [signed-by=/usr/share/keyrings/secubox.gpg] https://apt.secubox.in trixie main. Voir Profils pour le contenu de chaque profil et Trixie pour le changement de base.

scripts/apt-publier.sh publie un ou plusieurs .deb en une commande :

scripts/apt-publier.sh [--force] secubox-exemple_1.2.3-1~trixie1_all.deb

Dans l'ordre :

1. Refuse une version inférieure ou égale à celle du dépôt (sauf --force). Un paquet refusé rend le code de sortie non nul même si les autres sont publiés : c'est presque toujours le signe d'une divergence entre une branche et le code déployé.
2. Ne publie jamais un aperçu (~aurora dans la version) : la mise à jour automatique l'installerait la nuit sur toutes les box.
3. Vérifie que la clé peut signer. Quand elle est au Coffre, ouvre une session de signature de 10 minutes ; si le Coffre est scellé, s'arrête avant de toucher au dépôt.
4. Sauvegarde db, dists et conf, puis lance reprepro ... includedeb <suite> *.deb.
5. Fait un reprepro export explicite : un includedeb qui échoue sur un paquet met la base à jour sans ré-exporter, et InRelease resterait ancien.
6. Vérifie que InRelease est signé par la clé attendue du dépôt.

Le chemin CI (publish-packages.yml) fait de même avec reprepro -b repo includedeb <suite> <deb> pour chaque artefact d'une release, puis exporte le trousseau (.gpg binaire et .asc armuré) et install.sh.

Règle : source modifiée et déployée = version montée. Ne jamais déployer un paquet modifié sous une version inchangée : le dépôt garderait l'ancien fichier et les box ne verraient jamais le correctif. Patch pour une correction, médiane pour une fonctionnalité, majeure pour une release.

Avant de construire et déployer un paquet, comparer la première ligne de son debian/changelog à la version du dépôt :

reprepro -b <base> list trixie secubox-<module>

Si le dépôt est plus haut, la branche est périmée : la rebaser d'abord.

La clé est protégée par une phrase de passe qui doit déjà être dans la mémoire de gpg-agent (reprepro tourne sans terminal ; sinon : Pinentry: Inappropriate ioctl for device). La phrase est un secret du Coffre, jamais un fichier :

1. Le Coffre est scellé au démarrage ; la connexion d'un administrateur l'ouvre.
2. secubox-depot-coffre.timer lance chaque minute coffrectl depot deverrouiller --depuis-coffre --si-ouvert : Coffre scellé, rien ; clé qui signe déjà, rien ; sinon la phrase est lue au Coffre et donnée à gpg-agent (TTL d'un an).
3. Après un redémarrage de l'hôte du dépôt, il suffit de se connecter en administrateur : dans la minute, la signature refonctionne pour toutes les suites.

Vérifier l'état :

coffrectl depot etat
systemctl list-timers secubox-depot-coffre.timer

Si un export échoue parce que la clé est verrouillée, relancer l'unité de déverrouillage (systemctl restart secubox-depot-deverrouille.service) plutôt que de poser la phrase à la main : un réglage manuel écrase la bonne valeur.

Sessions de signature limitées : coffrectl depot session --minutes N (N au plus 60) puis coffrectl depot fin.

Operations-Release-Process-FR · Operations-Runbook-FR · Profils · Trixie · Installation-FR · Operations-APT-Repository