PatchMon : un tableau de bord libre pour mettre à jour ses serveurs Linux, une promesse séduisante qui exige de la rigueur

PatchMon est une plateforme libre qui rassemble, sur un seul tableau de bord web, les mises à jour de sécurité en attente sur un parc de machines Linux, puis permet de les appliquer après validation. La lettre d’information selfh.st l’a mise en avant le 23 octobre 2026. Elle s’adresse à celles et ceux qui administrent quelques serveurs à la main, mais elle ajoute elle-même un serveur à installer, à protéger et à tenir à jour : l’outil séduit, il ne se déploie pas à la légère.

Un parc vu d’un seul écran

Dans une petite structure ou un laboratoire personnel, les mises à jour se font souvent machine par machine, en se connectant à l’une après l’autre, et l’on perd vite la vue d’ensemble de celles qui sont en retard. Selon selfh.st, PatchMon est une plateforme auto-hébergée de supervision des correctifs Linux. Le projet est publié sous licence AGPL version 3, dont le texte figure dans son dépôt. Un tableau de bord remplace ainsi la tournée manuelle des serveurs : ce qui change surtout, c’est la visibilité sur ce qui est à jour et ce qui ne l’est pas.

Le principe repose sur de petits programmes, les agents, installés sur chaque machine surveillée. D’après le dépôt, ils n’exigent aucune modification du pare-feu en entrée, n’exposent ni SSH ni WinRM et ne demandent pas de VPN : ce sont eux qui contactent le serveur central, et non l’inverse. À notre avis, c’est un bon choix de conception, car aucune nouvelle porte n’est ouverte sur les serveurs surveillés. En contrepartie, tout converge vers le serveur central, qui devient l’endroit à défendre en priorité : il connaît l’inventaire complet du parc et peut y déclencher des mises à jour.

Côté correctifs, le site du projet indique que l’on peut exiger une approbation avant l’exécution sur les machines de production, avec la sortie complète des commandes conservée pour la traçabilité. Les notes de version évoquent aussi des essais à blanc, des résultats détaillés élément par élément et un suivi des redémarrages. Cette validation préalable est précieuse en entreprise, où une mise à jour appliquée sans contrôle peut interrompre un service. Elle ne dispense toutefois ni d’une sauvegarde récente avant toute opération importante, ni d’un essai préalable sur une machine sans enjeu.

Des versions rapides, des failles corrigées

La version 2.1.4, publiée le 16 octobre 2026, élargit le périmètre : selon ses notes, les machines Windows peuvent désormais être mises à jour, à la fois par l’agent Windows Update et, pour les applications, par winget. Un outil pensé d’abord pour Linux s’ouvre donc aux parcs mixtes, fréquents dans les PME. Cette extension, arrivée le 16 octobre 2026, appelle néanmoins de la prudence : une fonction qui vient d’apparaître est moins éprouvée qu’un module ancien, et mieux vaut l’essayer sur quelques postes avant de l’étendre à l’ensemble du parc.

Cette même version corrige aussi plusieurs failles de sécurité, ce qui rassure autant que cela alerte. D’après les notes, un logo téléversé pouvait exécuter un script à l’ouverture, des éditeurs pouvaient accorder plus de droits que ceux qu’ils détenaient, et la connexion révélait quels comptes existent. Les codes d’authentification à deux facteurs deviennent à usage unique. Que l’équipe détaille ces corrections est un signe de transparence ; reste qu’un outil capable de lancer des mises à jour sur tout un parc ne tolère pas ce genre de faiblesses, et qu’il faut installer sans attendre chaque version corrective.

Le rythme est soutenu : le 17 octobre 2026, la version 2.1.6 corrige l’échec d’installation d’un agent, qui se terminait par une erreur 403 derrière le proxy Traefik associé à CrowdSec, sans changement de base de données ni de configuration. Cette réactivité montre un projet actif, mais aussi des versions qui se succèdent vite. Adopter PatchMon, c’est accepter de suivre ses annonces et de planifier ses propres mises à jour avec la même régularité que celles des machines qu’il surveille.

Un outil chargé d’appliquer les correctifs sur tout un parc devient lui-même un maillon sensible, qu’il faut tenir à jour avant les autres.

Installer et héberger

Pour l’installer, le dépôt indique que Docker est le mode de déploiement préféré et pris en charge. Selon selfh.st, il faut aussi fournir des services PostgreSQL et Redis externes, pour le stockage des données et les files de tâches. Si le serveur est placé derrière un proxy inverse, le dépôt demande de s’assurer que celui-ci accepte les WebSockets. Ce n’est donc pas un outil en un clic : il y a trois briques à héberger, une base de données à sauvegarder, et une exposition sur Internet à éviter si possible, par exemple en réservant l’accès à un réseau privé.

PatchMon existe en deux formes. L’édition communautaire, à héberger soi-même, est présentée par le site officiel comme gratuite sous AGPL, avec un code que chacun peut relire en entier. Un service géré, PatchMon Cloud, est facturé 1, 2 ou 3 dollars par machine et par mois selon la formule Starter, Plus ou Max, et des services sur mesure sont proposés aux entreprises. Le projet s’appuie donc sur un revenu commercial, ce qui peut assurer sa pérennité, mais pose la question habituelle de la place laissée à la version gratuite. Rien dans les pages consultées n’indique de fonction réservée à l’offre payante ; la vigilance reste de mise à chaque changement de licence ou de modèle.

Gratuité, IA et vigilance

Le logiciel embarque aussi un assistant d’intelligence artificielle dans le terminal SSH du navigateur, compatible avec OpenRouter, Anthropic, OpenAI ou Google Gemini. Ce sont des services tiers : il est prudent de supposer que des informations sur ses machines peuvent transiter par ces fournisseurs, et de vérifier si la fonction peut être désactivée, car cela s’accorde mal, à notre avis, avec l’esprit de l’auto-hébergement. Le projet est en revanche clair sur l’IA dans son propre développement : sa déclaration publique affirme que les décisions d’architecture sont prises par des humains et que la sortie d’une IA est traitée comme un brouillon, non comme une contribution validée.

La politique de sécurité demande de ne pas ouvrir de ticket public pour une vulnérabilité et d’utiliser le signalement privé de GitHub. Elle précise aussi que les correctifs de sécurité ne sont publiés que pour la version stable courante, sans rétroportage vers les versions non prises en charge. Concrètement, rester sur une ancienne version revient à renoncer aux correctifs : l’outil doit être mis à jour régulièrement, ce qui est un vrai engagement pour qui l’adopte.

Pour une TPE, une association ou un particulier qui gère un petit parc de serveurs ou un laboratoire à la maison, ou home lab, PatchMon peut remplacer une routine fastidieuse par une vue claire des retards de mise à jour. Il convient de l’essayer d’abord sur une machine de test, de limiter son accès à un réseau privé, de sauvegarder sa base de données et d’activer l’authentification à deux facteurs. Pour un très petit parc, les mises à jour de sécurité automatiques fournies par la distribution restent une solution plus légère. Les personnes qui souhaitent un avis avant de se lancer peuvent nous en parler, dans la mesure de nos disponibilités.