Fedora 45 sort avec RPM 6.1, qui bloque les paquets non signés

Fedora Linux 45 est sorti le 3 novembre 2026, et son outil de paquets refuse désormais d'installer tout ce qui n'a pas de signature vérifiée. Cela concerne quiconque construit ses propres fichiers RPM ou en télécharge un depuis le site d'un éditeur. Une commande qui marchait sous Fedora 44 s'arrête maintenant sur une erreur.

L'annonce de Fedora Magazine promet « des améliorations soignées du bureau, de nouvelles fonctions puissantes pour l'installateur et des chaînes d'outils mises à jour ». La sortie a glissé deux fois par rapport à l'objectif du 20 octobre, rapporte Linux Compatible. Chaque report a suivi un vote « no-go », quand les testeurs ont trouvé un problème qui bloquait la sortie.

Ce qui a changé dans RPM 6.1

RPM est le format de paquets et l'installateur de Fedora, de Red Hat Enterprise Linux et de leurs cousines. Une signature est un tampon cryptographique. Elle prouve qui a construit un paquet et que personne ne l'a modifié depuis.

Fedora 45 « fait passer le mode de vérification des paquets par défaut de RPM 6.1 à une vérification obligatoire des signatures », écrit Jef Spaleta, responsable du projet Fedora, sur le blog de Red Hat. La page de changement de Fedora, portée par Panu Matilainen, le dit plus simplement : « seuls les paquets dotés d'une signature vérifiée peuvent être installés ».

Le changement tient en un seul réglage, %_pkgverify_level. Il passe de digest, qui vérifie seulement que le fichier n'est pas abîmé, à all, qui exige aussi une signature valide. Selon la page de changement, un paquet signé avec une clé que le système n'a pas importée échoue aussi. Fedora avait d'abord prévu ce changement avec RPM 6.0, puis l'a repoussé à Fedora 45 « pour des raisons de temps et de ressources ».

Testé : un paquet non signé sous Fedora 44 et 45

Lors d'un test de Tech AI Wire sous macOS 26.6.2 avec Docker Desktop 28.4.0, les images de conteneur officielles fedora:44 et fedora:45 ont exécuté le même paquet de test non signé. Les deux images ont été construites le 2 novembre pour arm64. Le paquet, taw-hello, a été construit avec rpmbuild dans Fedora 45 et ne porte aucune signature.

Vérification	Fedora 44	Fedora 45
rpm --version	6.0.2	6.1.0
rpm --eval "%_pkgverify_level"	digest	all
rpmkeys --checksig	« digests OK », code de sortie 0	« digests SIGNATURES NOT OK », code de sortie 1
rpm -i	installé, code de sortie 0	refusé, code de sortie 1
rpm -i --nosignature	installé	installé
dnf install du fichier local	installé, avec un avertissement	installé, avec un avertissement

Sous Fedora 45, un simple rpm -i a affiché une ligne et s'est arrêté :

$ rpm -i /pkgs/taw-hello-1.0-1.noarch.rpm
	package taw-hello-1.0-1.noarch does not verify: no signature

DNF, le gestionnaire de paquets de plus haut niveau de Fedora, s'est comporté autrement. Sur les deux versions, dnf install du fichier local a affiché « Warning: skipped OpenPGP checks for 1 package from repository: @commandline » et l'a installé. La nouvelle règle touche donc les scripts et les outils qui appellent rpm directement, pas un simple dnf install.

Le test a aussi confirmé le retour en arrière pour tout le système. Une fois la ligne %_pkgverify_level digest écrite dans /etc/rpm/macros.verify, rpm -i sous Fedora 45 a de nouveau installé le paquet non signé.

Quatre façons d'installer un paquet local désormais

La page de changement liste les méthodes prises en charge. Chacune convient à un cas différent :

• Une installation ponctuelle : ajouter --nosignature à la commande rpm, ou utiliser dnf install, qui a sauté la vérification dans le test ci-dessus.
• Vos propres builds : RPM 6.0 et les versions suivantes peuvent signer automatiquement les builds locaux avec une clé sans mot de passe. Mock, l'outil de Fedora pour des environnements de build propres, a un plugin de signature. COPR, le service de build communautaire de Fedora, signe les paquets lui-même.
• Les paquets d'un éditeur : importer la clé de signature de l'éditeur, pour que sa signature soit vérifiée. DNF5 en version 5.2.14.0 ou plus récente peut aussi désactiver la vérification pour un seul dépôt avec gpgcheck=0.
• Tout le système : la ligne macros.verify ci-dessus rétablit l'ancien comportement. Elle retire aussi la protection, donc à garder en dernier recours.

Autres changements de Fedora 45 qui peuvent casser des scripts

Les mêmes conteneurs ont interrogé le 4 novembre les dépôts de paquets de Fedora sur les versions proposées par chaque édition pour arm64 :

Paquet	Fedora 44	Fedora 45
Python	3.14.10	3.15.0
Go	1.26.10	1.27.3
LLVM	22.1.8	23.1.4
glibc	2.43	2.44
Perl	5.42.3	5.44.0
Podman	5.8.9	6.1.3
Serveur MySQL	8.4.10	9.7.2
Serveur MariaDB	11.8.8	12.3.2
pandas	2.3.3	3.0.6
GCC	16.2.1	16.2.1
Noyau Linux	7.2.15	7.2.15

Fedora 45 propose toujours MySQL 8.4 dans un paquet séparé, mysql8.4-server, en version 8.4.11. Quatre autres changements peuvent casser des installations existantes :

• Fichiers de dépôts déplacés : dans l'image de Fedora 45, /etc/yum.repos.d/ est vide. Les fichiers de dépôts de Fedora se trouvent dans /usr/share/dnf5/repos.d/. Linux Compatible prévient que les scripts qui utilisent les anciens chemins vont casser.
• Podman 6 abandonne slirp4netns, cgroups v1 et le moteur de base de données BoltDB, selon la liste des changements de Fedora. Linux Compatible conseille de passer à SQLite et d'utiliser --network=pasta.
• Débogage : ptrace, le mécanisme du noyau qu'utilisent les débogueurs, est désormais restreint pour les utilisateurs sans privilèges, selon le billet de Red Hat. Installer les paquets de débogage rétablit le traçage normal.
• Deux plugins VPN retirés : NetworkManager-vpnc et NetworkManager-fortisslvpn « seront obsolètes à partir de Fedora Linux 45 », indique l'annonce.

L'édition KDE passe à Plasma 6.8, la version qui a supprimé la session X11. Fedora 45 remplace aussi la console du noyau par kmscon, un changement apparu d'abord dans la bêta.

Ce que cela signifie pour les développeurs

Avant la mise à niveau, cherchez dans les scripts de build, les Dockerfiles et les jobs de CI les appels directs à rpm -i sur des fichiers que votre équipe construit. Ce sont ces appels qui échouent désormais. Signer les paquets internes est la solution durable. Ajouter --nosignature partout ramène le risque que le changement supprime.

Vérifiez tout outil de configuration qui écrit ou modifie des fichiers dans /etc/yum.repos.d/. Testez le code avec Python 3.15 et pandas 3 avant de migrer les traitements de données. Planifiez le passage à MySQL 9.7 ou restez sur mysql8.4-server. Un test en conteneur ne couvre que les outils de paquets. Il ne démarre ni le bureau, ni la console, ni le noyau.

Les utilisateurs de Fedora 44 font la mise à niveau avec sudo dnf upgrade --refresh, puis sudo dnf system-upgrade download --releasever=45 et sudo dnf offline reboot, selon Linux Compatible. Fedora 45 reçoit des mises à jour jusqu'au 8 décembre 2027, la date inscrite dans son propre fichier /etc/os-release.