L'installation n'est qu'un début
Vous arrivez ici depuis notre guide Réussir son installation Linux ? Bravo, vous avez désormais une machine fraîchement installée. La partie la plus intimidante est derrière vous : le système démarre, l'interface s'affiche, tout a l'air de fonctionner...
Mais l'installation n'est qu'un point de départ. Quelques étapes restent à faire dans les jours qui suivent pour avoir un système bien configuré, sécurisé et respectueux de votre vie privée. Rien de très compliqué : juste des bonnes habitudes à prendre, au bon moment, pour partir sur de bonnes bases.
Mettre à jour le système : la priorité absolue
La toute première chose à faire après une installation fraîche est de mettre à jour l'ensemble du système. Entre la date de création de l'image ISO que vous avez téléchargée et aujourd'hui, des semaines ou des mois se sont peut-être écoulés, et des correctifs de sécurité ont été publiés entre-temps.
Selon votre distribution, le gestionnaire de mises à jour vous informera automatiquement des mises à jour disponibles. Vous pouvez aussi lancer la mise à jour manuellement depuis le gestionnaire de logiciels ou encore via le terminal.
Vérifier que tout fonctionne après la mise à jour
Après une première grosse mise à jour, surtout sur une Rolling Release, redémarrez le système et vérifiez que tout fonctionne correctement (interface graphique, réseau, son…).
En cas de problème, Timeshift (si installé) permet de revenir à l'état précédent en quelques clics.
Ne jamais ignorer les mises à jour de sécurité
Les mises à jour de sécurité critiques (celles qui corrigent des vulnérabilités activement exploitées) sont à installer dès que possible. Certains gestionnaires de mises à jour les marquent généralement de façon visible. Plusieurs distributions proposent l'installation automatique de ces correctifs : unattended-upgrades sur Ubuntu et ses dérivés (dont Linux Mint), dnf-automatic sur Fedora, RHEL et leurs dérivés, ou encore les hooks pacman côté Arch pour les utilisateurs avancés.
Nous recommandons d'activer ce mécanisme sur les machines qui ne sont pas administrées au quotidien : c'est l'un des rares points de consensus entre l'ANSSI dans ses recommandations de sécurité relatives à un système GNU/Linux et les chercheurs en sécurité indépendants comme Madaidan.
Configurer les mises à jour automatiques
Sur les distributions comme Linux Mint ou Ubuntu, les mises à jour automatiques se configurent via l'interface graphique. Notre recommandation : laissez les mises à jour de sécurité s'installer automatiquement, et choisissez vous-même le moment pour les mises à jour plus lourdes (montée de version, nouveau noyau).
Sur les Rolling Release (Arch, Manjaro…), les mises à jour automatiques non supervisées sont à éviter. Faites-les manuellement, de façon régulière (idéalement hebdomadaire), en lisant les notes de mise à jour importantes. Une Rolling Release qui n'est plus mise à jour pendant trois mois devient dans la plupart des cas un casse-tête à rattraper.
Les noyaux et leur gestion
Le noyau Linux (kernel) lui-même est mis à jour régulièrement. Sur les distributions orientées débutants, les mises à jour du noyau s'installent automatiquement avec les autres mises à jour : vous n'avez pas à vous en préoccuper particulièrement.
Sur Linux Mint et Ubuntu, plusieurs versions du noyau coexistent et vous pouvez choisir laquelle utiliser au démarrage. Si une mise à jour du noyau cause des problèmes (un pilote graphique qui décroche, un module Wi-Fi qui ne se charge plus), vous pouvez facilement revenir à la version précédente depuis le menu de démarrage GRUB.
Sécuriser son système
Un système Linux fraîchement installé est déjà bien plus sécurisé qu'un système Windows fraîchement installé. Mais "bien plus sécurisé" ne signifie pas "parfaitement sécurisé".
Quelques améliorations de base s'imposent.
Pourquoi Linux est naturellement plus sécurisé
Avant d'entrer dans les recommandations, comprenons pourquoi Linux est considéré comme plus sécurisé que Windows pour les usages courants. 3 raisons principales, même si quelques nuances s'imposent, comme toujours.
1️⃣ D'abord, le modèle de permissions. Sous Linux, votre compte utilisateur n'a pas de droits d'administrateur par défaut. Pour installer un logiciel ou modifier un fichier système, il faut explicitement élever ses privilèges (via la commande sudo par exemple). Un malware qui s'exécuterait avec vos permissions ne pourra donc pas modifier les fichiers système ni s'installer de façon permanente sans votre intervention consciente.
Attention toutefois : un programme tournant sous votre compte garde l'accès à toutes vos données personnelles (documents, navigateur, clés SSH). Un rançongiciel (ransomware) n'a pas besoin de root pour chiffrer votre dossier /home : c'est un angle mort classique du modèle Linux desktop, qu'aucune élévation de privilèges ne vient combler.
2️⃣ Ensuite, la transparence du code. Les logiciels libres peuvent être audités par quiconque en possède les compétences, et les portes dérobées sont plus difficiles à cacher dans un code que des milliers de personnes lisent. Cela dit, "peuvent être audités" ne veut pas dire "le sont activement".
L'épisode de la porte dérobée découverte dans xz-utils en mars 2024 (analyse complète sur LWN), restée invisible pendant des mois dans une bibliothèque de compression critique, l'a rappelé à toute la communauté. La transparence est un filtre puissant, pas une garantie.
3️⃣ Enfin, la gestion des logiciels par dépôts centralisés. Sur Linux, vous installez vos logiciels depuis les dépôts officiels de votre distribution (l'équivalent d'un App Store vérifiable), pas depuis des fichiers téléchargés au hasard sur le web. Ces dépôts sont signés cryptographiquement et chaque paquet est vérifié avant d'être accepté. C'est une vraie barrière, qui n'élimine pas les attaques de la chaîne d'approvisionnement (ou "supply-chain attack" pour les anglophones, xz-utils est passé par cette chaîne par ex.) mais les rend beaucoup plus coûteuses à exécuter.
Plus récemment, en avril 2026, la divulgation de Pack2TheRoot (CVE-2026-41651) a rappelé que même la couche d'autorisation autour des paquets pouvait contenir des bugs très anciens : cette faille de PackageKit, présente depuis une version sortie il y a 14 ans et utilisée notamment sous Fedora, permettait à un utilisateur local sans privilège d'installer n'importe quel paquet en root. Elle a été découverte par la Red Team de Deutsche Telekom et corrigée dans PackageKit 1.3.5.
▶️ Pour une vue critique et documentée des limites du desktop Linux, le guide de référence est Madaidan's Insecurities, à lire en gardant en tête qu'il s'adresse à des profils paranoïaques avancés.
Les gestes de sécurité de base
Activez le pare-feu s'il ne l'est pas déjà. Sur Fedora il est piloté par firewalld (qui s'appuie aujourd'hui sur nftables, le successeur de l'historique iptables), sur Ubuntu et Linux Mint c'est UFW (un wrapper qui simplifie grandement les règles!), et sur Arch ou OpenSUSE il faut généralement l'activer à la main. Un pare-feu actif bloque les connexions entrantes non sollicitées et reste un filet de sécurité fondamental. Nous avons rédigé un tutoriel pour cela, pas de panique, continuez la lecture.
Si vous avez activé le chiffrement intégral du disque (LUKS) pendant l'installation, c'est le moment d'en prendre soin : phrase secrète robuste, sauvegarde du header LUKS, ajout éventuel d'une clé de secours. Si vous ne l'avez pas activé et que vos données sont sensibles, le plus simple reste de réinstaller proprement avec l'option chiffrement plutôt que tenter une bascule à chaud après coup. La marche à suivre côté installeur est traitée dans notre article Réussir son installation Linux.
Les mises à jour de sécurité : votre vrai bouclier
Sur Linux, on n'installe généralement pas d' "antivirus" tiers. Le vecteur principal d'infection sur Linux n'est pas un virus qui s'installe à votre insu, mais des logiciels mal maintenus avec des vulnérabilités connues.
La solution : maintenir votre système à jour systématiquement.
Un système Linux à jour (noyau, navigateur, applications) est résilient face à la grande majorité des attaques automatisées. Ne pas faire ses mises à jour pendant des mois, en revanche, expose à toutes les vulnérabilités publiées entre-temps.
C'est pour cette raison que la section "mettre à jour en premier" de ce guide n'est pas anodine : c'est le geste de sécurité le plus impactant qu'un utilisateur puisse poser.
AppArmor, SELinux et les bacs à sable moderne
AppArmor (activé par défaut sur Ubuntu et ses dérivés, donc sur Linux Mint) et SELinux (activé par défaut sur Fedora, RHEL et leurs dérivés) sont deux systèmes dits MAC (Mandatory Access Control), qui limitent ce que les processus peuvent faire, même quand ils tournent avec vos droits. Même si un logiciel est compromis, AppArmor ou SELinux peuvent contenir les dégâts. SELinux est généralement reconnu comme plus granulaire qu'AppArmor par la recherche en sécurité (voir l'analyse comparative de Madaidan), au prix d'une configuration plus complexe cependant.
À côté de ces deux historiques, deux briques plus récentes complètent le tableau et sont actives sans que vous n'ayez rien à faire :
- Landlock, une couche de sandboxing intégrée au noyau Linux depuis la version 5.13 et largement mature aujourd'hui. Elle permet à une application de réduire elle-même ses propres droits, sans privilège root. Plusieurs navigateurs et outils l'utilisent désormais par défaut.
- Le sandboxing applicatif des paquets Flatpak et Snap, qui s'appuie sur les namespaces du noyau et sur Bubblewrap. Une application Flatpak n'a accès qu'aux ressources que vous lui accordez explicitement (avec Flatseal en interface graphique pour vérifier ou modifier selon les besoins). Pour la plupart d'entre vous, ces systèmes fonctionnent en arrière-plan sans nécessiter d'intervention. Ils contribuent silencieusement à la sécurité globale du système. Pour les profils qui veulent reprendre la main dessus, le tutoriel de durcissement plus bas couvre les manipulations utiles.
Pour creuser : sources d'initiés en cybersécurité
Ces ressources s'adressent à un public déjà à l'aise avec les concepts de sécurité Linux et le terminal. Elles complètent (sans s'y substituer) les références institutionnelles type ANSSI ou CIS Benchmarks, qui sont elles plutôt utilisées en entreprise pour la conformité réglementaire.
- Madaidan's Insecurities : analyse critique et documentée des limites du desktop Linux côté sécurité. Ton tranchant, exigences élevées, à lire avec recul mais incontournable pour comprendre le décalage entre l'image grand public de Linux et la réalité technique.
- Kees Cook : blog du mainteneur upstream du durcissement du noyau Linux. État réel des protections kernel-side, avancées concrètes, retours d'expérience des distributions.
- ArchWiki, page Security : wiki communautaire technique, applicable bien au-delà d'Arch Linux. Référence pratique sur le pare-feu, le sandboxing, AppArmor/SELinux et le chiffrement.
- Privacy Guides, Linux Overview : recommandations communautaires orientées vie privée et sécurité, modérées par un collectif indépendant, mises à jour régulièrement.
Les tutoriels
- Pour sécuriser votre système de façon simple et guidée (pare-feu, anti-malware...), consultez notre tutoriel de protection d'une distribution :
ayo
- Pour aller plus loin (durcissement avancé du système), nous avons rédigé un tutoriel de durcissement pour les profils concernés :
ayo
Améliorer sa vie privée
Un système Linux de base est déjà bien plus respectueux de votre vie privée que Windows ou macOS. Quelques améliorations supplémentaires peuvent toutefois renforcer considérablement votre confidentialité numérique.
La menace réelle sur un PC personnel sous Linux
Avant de parler des améliorations, posons les bonnes perspectives. Sur un PC personnel sous Linux, les vecteurs d'attaque les plus courants ne sont généralement pas des exploits du noyau ou des malwares sophistiqués. Ce sont :
- Le hameçonnage (faux sites, faux e-mails ou SMS ou message WhatsApp, qui vous demanderont vos identifiants) : Linux ne vous protège pas contre ça, aucun système d'exploitation ne le fait vraiment.
- Les logiciels installés par vous-même depuis des sources peu fiables (scripts sans vérification, paquets douteux…) : Linux ne vous protège pas non plus contre ça.
- Le navigateur web : c'est la surface d'attaque la plus large pour la plupart d'entre nous. Pisteurs, publicités malveillantes, cookies, fingerprinting…
- Le réseau : ce que votre fournisseur d'accès peut voir, ce que les sites collectent, ce que des tiers récupèrent sur un Wi-Fi public. Les améliorations que nous recommandons ciblent principalement les deux derniers points, qui sont les plus pertinents pour la grande majorité des utilisateurs.
Cinq leviers concrets pour reprendre la main
➡️ Les serveurs DNS que vous utilisez par défaut sont généralement ceux de votre fournisseur d'accès internet, qui peut enregistrer tous les noms de sites que vous visitez. Cette information est potentiellement monétisée ou soumise à des obligations légales de conservation. Changer pour des DNS respectueux de la vie privée (ou s'auto-héberger avec Pi-hole ou AdGuard Home) est une amélioration simple, efficace, et souvent sous-estimée.
Nous avons rédigé pléthores de guides concernant les DNS, dont :
ayo
ayo
marmotte
➡️ Les trackers web et le fingerprinting : au-delà du réseau, la vie privée en ligne se joue surtout dans le navigateur. Les sites utilisent des trackers pour vous suivre d'une page à l'autre et d'un site à l'autre. Ils utilisent des cookies, mais aussi des techniques plus sophistiquées comme le fingerprinting (empreinte unique du navigateur) qui peut vous identifier même sans cookie. Un bon navigateur, bien configuré, avec des extensions de blocage de pisteurs, ainsi qu'un moteur de recherche soucieux de votre vie privée, font une différence énorme.
Nous avons rédigé quelques articles et tutoriels sur ce sujet, dont :
ayo
ayo
ayo
ayo
➡️ Un VPN chiffre votre trafic internet et masque votre adresse IP réelle auprès des sites que vous visitez et de votre fournisseur d'accès. C'est particulièrement important sur les Wi-Fi publics (café, bibliothèque, hôtel, gare) où n'importe qui sur le réseau peut potentiellement intercepter votre trafic si la connexion n'est pas chiffrée. À domicile, un VPN limite ce que votre fournisseur d'accès peut voir de vos activités si vous en sentez le besoin.
Nous avons rédigé quelques articles et tutoriels sur ce sujet, dont :
ayo
ayo
➡️ Le chiffrement des données au repos : si votre ordinateur portable est volé ou perdu, vos données sont accessibles à quiconque a accès au disque dur, à moins que celui-ci ne soit chiffré. Le chiffrement intégral du disque (Full Disk Encryption ou FDE) rend les données illisibles sans le mot de passe de déchiffrement. Pour une machine portable, ce n'est plus une option mais une précaution fondamentale.
Nous avons rédigé quelques articles et tutoriels sur ce sujet, dont :
ayo
➡️ La messagerie et les communications chiffrées : adopter Linux sur votre ordinateur ne sert à rien si vous continuez à utiliser WhatsApp, qui transmet vos métadonnées (voire vos messages) à Meta, ou Gmail qui analyse le contenu de vos courriels. La cohérence numérique passe aussi par revoir ses applications de communication. Nos articles dédiés sur les messageries et les courriels vous guideront vers des alternatives respectueuses de votre vie privée.
Nous avons rédigé quelques articles et tutoriels sur ce sujet, dont :
ayo
ayo
Trouver ses applications
En ce qui concerne les applications, certaines distributions incluent d'emblée un ensemble d'applications de base qui sont tout à fait acceptables d'un point de vue vie privée, par exemple :
- LibreOffice, qui remplace Microsoft Office pour la bureautique courante
- VLC ou un équivalent qui lit pratiquement n'importe quel fichier au format multimédia
- GIMP qui est dédié pour la retouche photo
- Firefox qui est bien souvent pré-installé pour la navigation web (Zorin a récemment fait le choix de Brave Browser néanmoins) Le gestionnaire de logiciels de votre distribution est l'endroit idéal pour explorer et installer les autres outils dont vous avez besoin. Pour les navigateurs et les moteurs de recherche, 2 choix structurants pour la vie privée, nous avons des guides dédiés, que nous avons ajouté à la section précédente.
Les applications libres incontournables
Voici une sélection (et pas une liste exhaustive) d'applications libres de qualité, que vous pouvez installer sur n'importe quelle distribution Linux. Certaines sont probablement déjà pré-installées chez vous selon votre distribution :
| Catégorie | Application | Description |
|---|---|---|
| Suite bureautique | LibreOffice | Traitement de texte, tableur, présentation : remplace Microsoft Office |
| Navigateur | Firefox | Navigateur libre par défaut sur la plupart des distributions, à configurer avec uBlock Origin et quelques autres extensions |
| Navigateur vie privée | Mullvad Browser | Fork de Firefox pré-configuré pour la vie privée, partenariat Mullvad / Tor Project |
| Thunderbird | Client courriel complet, support natif d'OpenPGP, agenda et carnet d'adresses intégrés | |
| Messagerie | Signal / SimpleX | Messageries chiffrées de bout en bout : Signal (centralisée, basée sur un numéro) ou SimpleX (décentralisée, sans identifiant) |
| Visioconférence | Element / Jitsi Meet | Element (réseau Matrix, salons chiffrés) et Jitsi Meet via kMeet (visioconférence sans compte) |
| Lecture multimédia | VLC | Lit pratiquement tous les formats audio et vidéo |
| Bibliothèque musicale | Rhythmbox / Lollypop | Gestion et lecture de bibliothèque musicale locale |
| Édition audio | Audacity | Enregistrement et montage audio multipiste, format de référence depuis vingt ans |
| Streaming et capture d'écran vidéo | OBS Studio | Capture d'écran, enregistrement et diffusion en direct, devenu un standard professionnel |
| Montage vidéo | Kdenlive | Montage vidéo non-linéaire, le plus mature de l'écosystème libre |
| Retouche photo | GIMP | Éditeur d'images bitmap complet, comparable à Adobe Photoshop pour 95 % des usages |
| Capture d'écran | Flameshot | Capture, annotation et partage rapide. Sur GNOME, l'outil intégré peut suffire. |
| Papers (ex-Evince) / Okular | Lecture, annotation et signature de fichiers PDF (Papers côté GNOME, Okular côté KDE) | |
| Lecteur ebook | Foliate / Calibre | Foliate pour la lecture confortable, Calibre pour la gestion de bibliothèque et la conversion de formats |
| Notes | Joplin, Logseq ou Notesnook | Notes et carnets en Markdown, chiffrement de bout en bout (optionnel ou inclus), synchronisation pair-à-pair ou via votre cloud |
| Diagrammes | Draw.io | Diagrammes, schémas réseau, organigrammes, sans dépendance à un service en ligne |
| Mots de passe | KeePassXC | Gestionnaire local, libre, robuste. Base chiffrée que vous synchronisez vous-même si besoin |
| Cloud personnel | Nextcloud (client) | Synchronisation avec votre instance Nextcloud personnelle, chez Zaclys ou un autre fournisseur tiers, ou auto-hébergée |
| Synchronisation pair-à-pair | Syncthing ou FreeFileSync | Synchronise des dossiers entre vos machines sans serveur central : pas de cloud, pas de compte, juste vos appareils qui se parlent |
| Sauvegarde | Pika Backup / Vorta | Interface graphique pour BorgBackup : sauvegardes incrémentales chiffrées et déduplication |
| Chiffrement de fichiers cloud | Cryptomator | Coffre-fort chiffré côté client avant envoi sur Dropbox, Nextcloud, Google Drive… |
| Téléchargement BitTorrent | qBittorrent | Client BitTorrent libre, sans publicité, devenu la référence après le déclin de Transmission sur Linux |
| Pont avec son téléphone | KDE Connect / GSConnect | Notifications, transfert de fichiers, télécommande entre votre PC Linux et votre téléphone Android (GSConnect = intégration GNOME) |
| Gravure et images disque | K3b / GNOME Disks | Gravure de CD/DVD, gestion d'images disque, écriture d'ISO sur clé USB. Historiquement Brasero, aujourd'hui en mode maintenance minimale, donc nous le déconseillons pour les nouvelles installations |
Premier réflexe : chercher un logiciel libre avant un logiciel propriétaire
Adopter Linux, c'est aussi adopter une nouvelle façon de penser ses outils.
Avant d'installer un logiciel propriétaire (même s'il est gratuit), prenez le réflexe de chercher d'abord une alternative libre. Ce n'est pas une obligation idéologique, c'est plus un réflexe pratique : le logiciel libre vous donne plus de contrôle, vous protège mieux en terme de vie privée et contribue à un écosystème numérique plus sain. Plusieurs annuaires de qualité existent.
Voici ceux que nous utilisons régulièrement, classés par angle d'approche :
- Framalibre : l'annuaire du libre porté par l'association d'éducation populaire Framasoft. Catalogue francophone, fiches descriptives, point de départ idéal pour les néophytes.
- AlternativeTo : l'un des catalogues les plus riches au monde. Recense aussi bien des logiciels payants, gratuits qu'open-source. Pensez à filtrer sur "Open Source" après chaque recherche, sans quoi le site vous sortira aussi des alternatives propriétaires.
- OpenAlternative : orienté outils professionnels (SaaS, productivité, développement), pratique pour remplacer un service en ligne propriétaire par une solution auto-hébergeable.
- Awesome Privacy : dépôt GitHub communautaire centré sur les alternatives respectueuses de la vie privée, organisé par catégorie.
- Privacy Tools List : page web simple, classée par catégorie, avec un focus vie privée.
- Prism-Break : historique du genre, propose des alternatives en partant des plateformes (GNU/Linux, Android, iOS, Windows…).
- Secuso : recommandations issues de l'institut de recherche en sécurité de l'université de Karlsruhe, plus académique.
Et maintenant ?
Un système à jour, un pare-feu actif, un navigateur bien configuré, quelques applications libres bien choisies : vous avez déjà l'essentiel. Le reste, c'est une progression à votre rythme, au gré de vos besoins et de votre curiosité.
Les erreurs font partie du processus. Vous allez peut-être casser quelque chose en voulant trop bien faire ou aller trop vite. C'est normal et la plupart des problèmes sont réversibles. C'est en corrigeant qu'on apprend le plus vite.
La communauté est là. Sur Wikilibriste, Ubuntu-fr, le forum Linux Mint ou le wiki Arch, des milliers de bénévoles sont prêts à aider. La règle d'or : cherchez d'abord, posez la question ensuite.
Votre choix a un impact. Chaque utilisateur Linux supplémentaire envoie un signal aux développeurs. Chaque signalement de bug améliore le système pour tous. Pas besoin de savoir programmer : traduire de la documentation, aider sur les forums, faire un don à Linux Mint, Debian ou GNOME, tout cela compte.
Si vous voulez revenir aux bases ou explorer d'autres distributions, rendez-vous sur notre guide des distributions GNU/Linux. Pour la suite de votre cheminement vers la souveraineté numérique, la suite Wikilibriste sur l'hygiène numérique est le meilleur point de départ.
Bonne route sur GNU/Linux 🐧
Contributeur(s) : Ayo, Marmotte et Theudric