Remplacez la configuration http par défaut de nginx sans modifier le fichier nginx.conf par défaut.

Ou devrais-je abandonner complètement l'idée et saccager le nginx.conf?

Oui, vous devriez le faire.

Les seuls changements jamais apportés par les mainteneurs de paquets sont soit

• des paramètres par défaut plus sensés pour lesquels vous auriez dû configurer vous-même il y a très longtemps de toute façon
• des exemples préfixés par # qui ne seraient de toute façon pas utilisés sans votre action

Par le passé, les seuls changements significatifs étaient ssl_protocols, ssl_prefer_server_ciphers et worker_processes. Vous auriez dû les écraser de toute façon des années avant de les définir dans le paquet deb semblait être une chose raisonnable à faire pour les mainteneurs de paquets.

Par le passé, la seule véritable atténuation qui aurait pu être incluse avec un nginx.conf au niveau du système, en ajoutant max_ranges 1; pour CVE-2017-7529 n'était pas incluse dans aucune distribution que je connais, ils ont publié la correction de la vulnérabilité avant que la plupart des administrateurs n'aient même appliqué l'atténuation.

Vous ne pouvez pas vous attendre à ce que les mainteneurs de paquets soient plus rapides que vous pour ajouter des modifications potentiellement perturbatrices, donc vous ne profiterez probablement pas de l'héritage de leur configuration. Les mainteneurs de paquets ne peuvent pas savoir ce qui est le mieux pour les millions de cas d'utilisation existants et seront donc extrêmement conservateurs dans le changement de valeurs ici.

Tant que votre système de sauvegarde fonctionne correctement, il est probablement toujours une bonne idée de conserver la configuration en place, afin que apt vous demande lors des mises à jour interactives comment agir sur les modifications apportées par les mainteneurs au fichier de configuration.

Comment pouvez-vous déterminer quels changements ont été apportés entre différentes versions? Vous pouvez comparer toutes les versions de paquets disponibles (non vérifiées, téléchargées de manière non sécurisée) de cette manière:

(cd "$(mktemp -d)"; rmadison --url=debian nginx-common | awk '{print $3}' | while read a; do curl "http://ftp.debian.org/debian/pool/main/n/nginx/nginx-common_${a}_all.deb" | dpkg -x - x${a}; done; for a in x*/etc/nginx/nginx.conf; do [ -z "$la" ] && la="$a" && continue; diff -wus "$la" "$a";la="$a" ; done; pwd)