Test & Avis Expert
Arch Linux est une distribution GNU/Linux à publication continue, officiellement limitée à l’architecture x86-64. Elle s’installe en ligne de commande et se configure entièrement à la main : rien n’est préinstallé au-delà du strict nécessaire, rien n’est durci par défaut. Projet communautaire, gratuit, financé par des dons. Le degré de confidentialité d’un poste sous Arch dépend donc intégralement des choix de son utilisateur.
Comment ça marche
Trois éléments structurent la distribution. Le gestionnaire de paquets pacman et les dépôts officiels, tenus par une équipe restreinte de mainteneurs. Le wiki Arch, qui fait référence bien au-delà de la distribution elle-même et documente la plupart des réglages de sécurité et de confidentialité applicables à Linux. Et l’AUR, dépôt communautaire où n’importe quel utilisateur enregistré peut publier un PKGBUILD, c’est-à-dire un script de construction exécuté sur votre machine lors de l’installation.
La publication continue signifie qu’il n’y a pas de version : les correctifs de sécurité arrivent dès que l’amont les publie, sans attendre une prochaine version stable. En contrepartie, une mise à jour peut demander une intervention manuelle, annoncée dans les actualités du projet.
Ce que ça ne protège pas
L’AUR n’est pas audité, et ce n’est pas une réserve théorique. Le 12 juin 2026, le projet a publié une annonce sur un incident de paquets malveillants actif : des comptes ont adopté en masse des paquets orphelins — des projets légitimes abandonnés par leur mainteneur d’origine — puis modifié leurs PKGBUILD pour installer silencieusement des charges malveillantes. La campagne, suivie par les chercheurs sous le nom « Atomic Arch », a touché plus de 400 paquets dans les premiers relevés, puis plus de 1 500 selon les décomptes ultérieurs. Le logiciel déposé visait le vol d’identifiants sur des postes de développement et des chaînes d’intégration continue. Arch a réagi en restreignant temporairement la création de comptes AUR, les mises à jour et l’adoption de paquets, puis en suspendant les adoptions, et demande explicitement de relire tous les PKGBUILD et scripts d’installation avant chaque mise à jour. Cette consigne est incompatible avec un usage confortable des assistants AUR, qui existent précisément pour automatiser cette étape.
Au-delà de l’AUR : aucun durcissement par défaut, pas de profil AppArmor ou SELinux préconfiguré, pas de pare-feu actif, pas de chiffrement de disque imposé par l’installeur. Arch ne prétend rien de tout cela — mais un lecteur qui l’installe en pensant améliorer sa vie privée sans rien configurer d’autre n’aura rien gagné. Enfin, l’architecture est limitée à x86-64 : pas de support officiel ARM.
Face aux alternatives
NixOS offre le même contrôle total mais rend la configuration reproductible et réversible. openSUSE Tumbleweed propose une publication continue également, avec des tests automatisés amont et un outil de configuration graphique. Fedora Workstation livre SELinux actif par défaut, ce qu’Arch ne fait pas. Arch se justifie quand on veut savoir exactement ce qui tourne sur sa machine, parce qu’on l’a mis soi-même.
