Depuis le 31 août 2026, Debian 11 « Bullseye » est officiellement en fin de vie : plus aucun correctif de sécurité n’est publié par le projet Debian. Quelques semaines plus tôt, le 12 juillet 2026, Debian 12 « Bookworm » a quitté le support standard pour passer entre les mains de l’équipe LTS. Autrement dit, si vous exploitez encore des serveurs en Bullseye, chaque nouvelle faille découverte dans OpenSSL, OpenSSH, PHP ou le noyau restera ouverte chez vous.
Chez nous, l’infogérance de serveurs Debian fait partie du quotidien. Dans cet article, nous faisons le point sur le calendrier, les risques concrets, et la méthode que nous suivons pour migrer un serveur de production jusqu’à Debian 13 « Trixie ».
Où en est-on ? Le calendrier des versions Debian
Debian publie une version stable environ tous les deux ans, maintenue trois ans par l’équipe sécurité, puis deux ans de plus par l’équipe LTS (sur un nombre réduit d’architectures). Voici la situation à date :
| Version | Sortie | Statut | Fin du support |
|---|---|---|---|
| Debian 11 « Bullseye » | 14 août 2021 | Fin de vie | 31 août 2026 (LTS terminé) |
| Debian 12 « Bookworm » | juin 2023 | LTS depuis le 12 juillet 2026 | 30 juin 2028 |
| Debian 13 « Trixie » | 9 août 2025 | Stable actuelle | Support complet jusqu’au 9 août 2028, puis LTS jusqu’au 30 juin 2030 |
Bookworm reste donc sûr pour l’instant, mais en LTS seuls certains paquets et certaines architectures (amd64, i386, arm64, armhf, ppc64el) sont couverts. Le projet Debian recommande lui-même de passer à Trixie dès que possible. Des offres commerciales d’« Extended LTS » existent pour prolonger Bullseye sur une partie des paquets, mais il s’agit d’un sursis payant, pas d’une solution durable.
Pourquoi ne pas attendre ?
- Sécurité : un serveur exposé sur Internet sans correctifs devient une cible facile, surtout pour les services web, la messagerie et SSH.
- Conformité : RGPD, cyber-assurance, exigences de vos clients… faire tourner un système non maintenu est difficile à justifier en cas d’incident.
- Dette technique : Bullseye embarque PHP 7.4, lui-même abandonné depuis fin 2022. Plus vous attendez, plus le saut de versions applicatives sera important.
- Deux marches au lieu d’une : Debian ne prend pas en charge la mise à niveau directe de 11 vers 13. Il faut passer par 12, puis par 13.
Ce qui change entre Debian 11, 12 et 13
La mise à niveau du système en elle-même se passe généralement bien. Ce sont les applications qui demandent de l’attention, car les versions des briques principales évoluent fortement :
| Composant | Debian 11 | Debian 12 | Debian 13 |
|---|---|---|---|
| Noyau Linux | 5.10 | 6.1 | 6.12 |
| PHP | 7.4 | 8.2 | 8.4 |
| MariaDB | 10.5 | 10.11 | 11.8 |
| PostgreSQL | 13 | 15 | 17 |
| Python | 3.9 | 3.11 | 3.13 |
Passer de PHP 7.4 à PHP 8.4, c’est franchir plusieurs ruptures de compatibilité : vieux plugins WordPress, modules PrestaShop ou code maison non maintenu peuvent ne plus fonctionner. Côté matériel, notez aussi que Trixie ne propose plus i386 comme architecture d’installation à part entière et que armel n’est plus supporté que pour les mises à niveau.
Notre méthode de migration, étape par étape
1. Inventorier
Première étape : savoir précisément ce qui tourne où. Sur chaque machine :
cat /etc/debian_version
hostnamectl | grep "Operating System"
# Paquets qui ne proviennent pas des dépôts Debian officiels
apt list '?narrow(?installed, ?not(?origin(Debian)))'N’oubliez pas les conteneurs : une image debian:bullseye ou php:7.4-apache hérite des mêmes failles. Une recherche rapide dans vos dépôts suffit à les repérer :
grep -rniE "FROM .*(bullseye|7\.4)" --include="Dockerfile*" .2. Sauvegarder et tester sur une copie
Avant toute mise à niveau, nous réalisons une sauvegarde complète (snapshot de VM si possible, plus un export des bases de données et de /etc). Ensuite, nous clonons le serveur et déroulons la migration sur la copie pour identifier les applications qui cassent, sans impact pour les utilisateurs.
3. Passer de Bullseye à Bookworm
On commence par mettre à jour complètement Bullseye, puis on bascule les dépôts. Bookworm introduit le composant non-free-firmware, à ajouter si vous utilisez des firmwares non libres :
apt update && apt full-upgrade
sed -i 's/bullseye/bookworm/g' /etc/apt/sources.list /etc/apt/sources.list.d/*.list
apt update
apt upgrade --without-new-pkgs
apt full-upgrade
reboot4. Passer de Bookworm à Trixie
Une fois Bookworm stabilisé et vos services vérifiés, on recommence la même opération vers Trixie :
sed -i 's/bookworm/trixie/g' /etc/apt/sources.list /etc/apt/sources.list.d/*.list
apt update
apt upgrade --without-new-pkgs
apt full-upgrade
reboot
cat /etc/debian_version # doit afficher 13.xPensez à lire les notes de publication de Trixie avant de lancer l’opération : elles listent les changements de comportement susceptibles de vous concerner. Et gardez toujours une session SSH de secours ouverte pendant la mise à niveau d’OpenSSH.
5. Vérifier et nettoyer
systemctl --failed
apt autoremove --purge
# Paquets dont le suivi de sécurité est limité
apt install debian-security-support && check-support-statusIl reste ensuite à valider chaque site et chaque application : formulaires, envois d’e-mails, tâches planifiées, sauvegardes et supervision.
Mise à niveau en place ou réinstallation ?
La mise à niveau en place fonctionne bien sur un serveur sain et bien tenu. Mais lorsqu’une machine a accumulé des années de bricolages, de dépôts tiers et de paquets compilés à la main, nous préférons souvent installer un serveur neuf en Debian 13 et y migrer les services un par un. C’est aussi l’occasion de revoir la configuration, de conteneuriser certaines applications et de mettre en place une sauvegarde et une supervision dignes de ce nom.
Besoin d’un coup de main pour migrer ?
Vous gérez un serveur, un VPS ou des conteneurs encore en Debian 11 et vous ne savez pas par où commencer ? Nous pouvons réaliser l’audit, la migration de test puis la bascule en production. Contactez-nous pour en parler.