Debian 13 Trixie: Actualização de Servidores e Novidades para PME

O Debian 13 “Trixie” foi lançado a 9 de Agosto de 2025 e é a versão estável actual da distribuição. Muitos servidores de PME ainda correm o Debian 12 Bookworm — este guia cobre a actualização in-place segura, as armadilhas mais comuns do processo e o que a nova versão traz de relevante para quem gere servidores: kernel 6.12 LTS, OpenSSL 3.5 com criptografia pós-quântica e APT 3.0.

Neste artigo

• Novidades principais do Trixie
• Preparação do servidor
• Actualização in-place passo a passo
• Armadilhas do upgrade
• Após a actualização
• Conclusão

Novidades principais do Trixie

A release traz 14 100 pacotes novos, 8 840 removidos como obsoletos e 44 326 actualizados. Para servidores, os componentes mais relevantes:

O suporte de segurança do Trixie corre até 2028 pela equipa de segurança e até 2030 via LTS — cinco anos de suporte total, o ciclo standard da distribuição.

OpenSSL 3.5 e criptografia pós-quântica

O OpenSSL 3.5 é a primeira versão com criptografia pós-quântica activada por defeito: o TLS 1.3 passa a negociar chaves híbridas X25519MLKEM768 (clássica + ML-KEM do NIST em paralelo). Para servidores HTTPS e SSH, significa que as ligações ficam resistentes a atacantes que capturem tráfego hoje para desencriptar mais tarde com um computador quântico. Já cobrimos o tema em profundidade no artigo sobre criptografia pós-quântica no Nginx.

Preparação do servidor

Comece por garantir que o Bookworm está totalmente actualizado e que o sistema é Debian “puro” — pacotes de terceiros e repos externos devem ser removidos ou desactivados antes do upgrade:

# Actualizar o Bookworm por completo
sudo apt update && sudo apt full-upgrade -y
sudo apt --fix-broken install
sudo apt autoremove

# Listar pacotes de fora do Debian (remover ou mover para backup)
apt list '?narrow(?installed, ?not(?origin(Debian)))'
apt-forktracer | sort

# Pacotes em hold — nenhum pode bloquear o upgrade
apt-mark showhold

# Confirmar espaço livre em /boot (o kernel 6.12 é maior)
df -h /boot

# Backup completo antes de tocar em nada
sudo tar -czf /root/backup-pre-trixie.tar.gz /etc /var/lib/dpkg /etc/apt/sources.list*

Actualização in-place passo a passo

1. Migrar os sources para o formato deb822

O Trixie traz o APT 3.0, que prefere o formato deb822 (ficheiros .sources em vez de .list). A partir do Trixie, o comando apt modernize-sources faz a conversão automática com backup. Para apontar já para o Trixie em formato deb822, crie o ficheiro /etc/apt/sources.list.d/debian.sources:

Types: deb
URIs: https://deb.debian.org/debian
Suites: trixie trixie-updates
Components: main non-free-firmware
Signed-By: /usr/share/keyrings/debian-archive-keyring.gpg

Types: deb
URIs: https://security.debian.org/debian-security
Suites: trixie-security
Components: main non-free-firmware
Signed-By: /usr/share/keyrings/debian-archive-keyring.gpg

Repare que o componente non-free-firmware substitui o firmware que antes vivia em non-free — se o servidor tem placas de rede ou controladoras RAID que precisam de firmware, este componente é obrigatório. Remova depois os ficheiros .list antigos para evitar entradas duplicadas.

2. Executar o upgrade

# Atualizar o índice de pacotes
sudo apt update

# Actualização mínima primeiro (sem remover pacotes)
sudo apt upgrade --without-new-pkgs

# Actualização completa
sudo apt full-upgrade

# Responder às perguntas de ficheiros de configuração com cuidado:
# - D (mostrar diferenças) antes de substituir um ficheiro que editou
# - Manter versão local em serviços críticos (sshd, nginx, postgresql)

# Reboot para carregar o kernel 6.12
sudo reboot

O apt upgrade --without-new-pkgs reduz o risco do salto directo: instala as novas versões dos pacotes existentes sem puxar dependências novas. Só depois corre o full-upgrade, que resolve o grosso da transição.

Armadilhas do upgrade

Duas notas para quem gere bases de dados: o PostgreSQL 17 não lê automaticamente os dados do 15 — o cluster precisa de pg_upgradecluster após o upgrade. E o MariaDB salta da 10.11 para a 11.8, que exige a mesma atenção (dump lógico antes de arriscar). Serviços como o OpenLDAP mudaram o backend TLS de GnuTLS para OpenSSL — a configuração de certificados pode precisar de revisão.

Se o full-upgrade falhar com “Could not perform immediate configuration”, o workaround oficial é correr apt full-upgrade -o APT::Immediate-Configure=0.

Após a actualização

# Confirmar versão
cat /etc/debian_version          # 13.x
uname -r                          # 6.12.x-amd64
openssl version                   # OpenSSL 3.5.x

# Converter os sources para deb822 (se ainda não fez)
sudo apt modernize-sources

# Limpeza de pacotes órfãos
sudo apt autoremove --purge
apt list '~c'                    # listar configs órfãs
sudo apt purge $(apt list '~c' -q 2>/dev/null | grep -v Listing | head -50)

# Verificar que os serviços essenciais arrancaram
systemctl --failed

Conclusão

A actualização do Bookworm para o Trixie é um processo maduro — as notas de versão oficiais cobrem todos os cenários e o APT 3.0 tornou a transição de sources mais clara. O ganho mais relevante para PMEs a médio prazo é a criptografia pós-quântica do OpenSSL 3.5, que passa a estar disponível em todo o sistema sem configuração manual.

Para quem gere servidores Ubuntu, o artigo sobre a migração para o Ubuntu 26.04 LTS cobre o caminho paralelo na distribuição irmã. Para reforçar o servidor depois do upgrade, siga o Linux Server Hardening Checklist 2026 e valide a configuração SSH com o guia de hardening e diagnóstico de SSH.

Artigos Relacionados

• Ubuntu 26.04 LTS: Migração de Servidores e Novidades
• Linux Server Hardening Checklist 2026: SSH, Firewall e Kernel
• SSH: Configuração, Hardening e Diagnóstico de Anomalias para Sysadmins
• Dia 14: Cópias de Segurança e Recuperação — rsync e BorgBackup