Dans Fedora, il est proposé d'utiliser FlatHub dans les éditions atomiques de la distribution.

Michael Catanzaro, l'un des développeurs du navigateur web Epiphany (GNOME Web), participant aux projets GNOME et Fedora, a suggéré de réévaluer l'utilisation du catalogue FlatHub dans Fedora Linux. Dans l'édition de Fedora Workstation à mise à jour atomique, il est proposé d'utiliser par défaut le catalogue FlatHub pour les paquets flatpak installés par les utilisateurs, tandis que le propre dépôt de paquets flatpak serait limité à l'utilisation pour les paquets préinstallés.

Actuellement, Fedora propose par défaut un dépôt flatpak propre, dont le contenu est formé sur la base de la reconstruction de paquets rpm. Par défaut, il est possible d'activer le téléchargement de paquets depuis FlatHub seulement après installation, en activant l'option « Activer les dépôts tiers » dans le gestionnaire d'applications GNOME, mais même dans ce cas, les paquets du dépôt Fedora ont une priorité plus élevée.

Selon Michael, la plupart des utilisateurs préféreraient installer des paquets depuis le catalogue FlatHub, compilés par les développeurs principaux des applications, plutôt que ceux accompagnant Fedora (80 % des participants à la discussion se sont prononcés en faveur de l'utilisation de FlatHub). Il est supposé que les développeurs d'applications connaissent mieux les nuances de leurs projets et compilent des paquets flatpak de meilleure qualité, mieux testés par la communauté. En même temps, les paquets rpm accompagnant Fedora ne montrent pas d'intérêt à maintenir des variations de paquets au format flatpak et n'accordent pas suffisamment d'attention aux rapports de bogues sur de tels paquets, ce qui conduit à une qualité des paquets flatpak de Fedora inférieure à celle des paquets des projets principaux sur FlatHub.

De nombreux utilisateurs ne réalisent pas qu'en installant un paquet flatpak via le gestionnaire d'applications Fedora, celui-ci ne s'installe pas à partir de FlatHub, comme dans d'autres distributions, mais à partir du dépôt Fedora, des paquets qui diffèrent des versions de FlatHub. Cela crée des problèmes spécifiques aux paquets du dépôt Fedora perçus comme des problèmes dans les paquets officiels de FlatHub, et les plaintes sont dirigées vers les principaux développeurs, plutôt que vers les accompagnateurs de Fedora. Par exemple, la livraison d'un paquet flatpak problématique OBS Studio dans Fedora, qui était plus prioritaire qu'un paquet de FlatHub, a conduit en février à un conflit avec le projet OBS Studio.

L'avenir de Fedora Workstation est envisagé comme une distribution à mise à jour atomique, il est donc préférable de ne pas tarder à passer à FlatHub. L'utilisation d'un dépôt Flatpak propre est justifiée par la nécessité de construire dans un environnement fiable. Pour les paquets sur FlatHub, même en tenant compte uniquement des paquets vérifiés, la construction est réalisée dans des infrastructures externes, dont la sécurité peut être contestée.

Parmi les avantages de maintenir son propre dépôt dans Fedora, on mentionne les garanties que le paquet est construit à partir du code source déclaré et contient uniquement des composants sous des licences ouvertes approuvées pour l'utilisation par Fedora. Les paquets dans le dépôt Fedora peuvent également inclure des correctifs disponibles uniquement pour les paquets RPM dans Fedora et qui n'ont pas encore été acceptés dans la base de code principale des projets.

La proposition de Michael consiste à inclure par défaut dans l'édition atomique de Fedora Workstation la prise en charge de l'installation de paquets depuis FlatHub, dans la catégorie « logiciel libre ». La possibilité d'installation depuis FlatHub ne concernera que les paquets installés par les utilisateurs via le gestionnaire d'applications GNOME Software. Tous les paquets flatpak préinstallés par défaut continueront à être téléchargés depuis leur propre dépôt Fedora, mais pour les paquets non appliqués par défaut, il est proposé d'utiliser FlatHub comme source de téléchargement.

Avant de passer à FlatHub, il est proposé d'implémenter conjointement dans FlatHub des capacités de construction de paquets dans une infrastructure de confiance et d'utiliser des vérifications basées sur des constructions reproductibles. De plus, il convient de résoudre la question de l'utilisation dans les paquets de versions obsolètes de Flatpak Runtime, pour lesquelles les correctifs de vulnérabilité ne sont plus transférés. Actuellement, 994 sur 3438 (presque un tiers) des paquets vérifiés de FlatHub utilisent des Runtime obsolètes. Des problèmes de sécurité se posent également en raison des dépendances internes obsolètes incluses dans les paquets et de l'application de mesures insuffisantes d'isolement sandbox (certains développeurs de paquets désactivent les modes de protection).

En plus de Michael, Timothée Ravier a également proposé une idée similaire : dans Fedora 43, il est suggéré de continuer à fournir des paquets flatpak préinstallés à partir du dépôt de Fedora, mais d'ajouter un filtre permettant l'installation d'applications vérifiées et sélectionnées depuis FlatHub. Les avantages de cette solution sont cités comme réduisant la confusion pour les utilisateurs et les développeurs des projets principaux (les développeurs doivent résoudre des messages d'erreurs spécifiques aux paquets Flatpak de Fedora, envoyés sous la forme de paquets flatpak officiels). Ce changement réduira également la charge des mainteneurs et leur permettra de se concentrer sur la transmission des corrections aux projets principaux et sur les tests des paquets Flatpak préinstallés par défaut.

Source : opennet.ru