Test & Avis Expert
NixOS est une distribution GNU/Linux dont toute la configuration — paquets installés, services, utilisateurs, réglages du noyau — est décrite dans des fichiers déclaratifs. La version stable proposée au téléchargement est la 26.05, en images ISO graphique et minimale pour x86-64 et ARM64, avec des images Amazon EC2 publiées chaque semaine et une image Docker. Le dépôt de paquets Nixpkgs annonce plus de 140 000 paquets et est sous licence MIT. Le projet est communautaire, avec une équipe sécurité identifiée et une fondation.
Comment ça marche
Le gestionnaire de paquets Nix construit chaque paquet dans un environnement isolé, à partir d’une description complète de ses dépendances. Deux conséquences pratiques. D’abord la reproductibilité : si un paquet fonctionne sur une machine, il fonctionne à l’identique sur une autre, parce que rien n’est emprunté à l’état préexistant du système. Ensuite la réversibilité : chaque reconstruction du système produit une « génération » conservée, et le menu de démarrage permet de redémarrer sur la précédente si une mise à jour casse quelque chose. Un système compromis par une mise à jour n’est pas à réinstaller, il est à redémarrer autrement.
Pour la vie privée, l’intérêt indirect est réel : la configuration d’une machine durcie tient dans un fichier versionné, relisible, comparable, et rejouable sur un nouveau poste. Ce qui est installé est écrit noir sur blanc, ce qui rend les dérives silencieuses difficiles. Nix s’installe aussi seul, sans NixOS, sur une autre distribution Linux ou sur macOS. Le projet est gratuit ; du support commercial existe séparément.
Ce que ça ne protège pas
NixOS n’est pas une distribution durcie. Elle ne fournit ni noyau renforcé, ni profils de confinement par défaut, ni configuration réseau particulière : la reproductibilité n’est pas de la sécurité. Un système NixOS mal configuré est exactement aussi exposé qu’un Debian mal configuré, à la différence près que l’erreur est écrite quelque part.
Le coût d’entrée est le vrai obstacle. Nix impose son propre langage de configuration, ses concepts (dérivations, canaux, flakes) et une documentation historiquement réputée difficile. Les logiciels qui s’attendent à trouver leurs bibliothèques aux emplacements habituels du système de fichiers ne fonctionnent pas sans adaptation, ce qui touche notamment les binaires propriétaires téléchargés.
Enfin, Nixpkgs est un dépôt communautaire très large : plus de 140 000 paquets signifie aussi une surface de confiance très large, avec des mainteneurs nombreux et une revue inégale selon les paquets.
Face aux alternatives
Fedora Atomic Desktops obtient une réversibilité comparable par une autre voie — un système de base en lecture seule mis à jour d’un bloc — sans exiger d’apprendre un langage. Arch Linux offre le même degré de contrôle manuel sans aucune garantie de reproductibilité. Qubes OS répond à un tout autre besoin, l’isolation par machines virtuelles. NixOS convient à qui veut décrire une machine une fois et la reconstruire ailleurs à l’identique.
