Von Debian werden zu jedem Zeitpunkt drei Varianten parallel angeboten: Die zuletzt veröffentlichte offizielle Version heißt stable (engl. stabil bedeutet im täglichen Betrieb lauffähig). Dort sind alle Pakete sehr gut getestet und die jeweils aktuellsten Sicherheitsupdates sind sehr schnell verfügbar.
Darüber hinaus gibt es zwei zusätzliche Zweige: unstable, an der ständig entwickelt wird, und testing, die der Sammelplatz für das nächste offizielle Release ist.
testing setzt sich aus Paketen zusammen, die nach einigen Tagen (meistens 10) in unstable keine für das Release entscheidenden Fehler gezeigt haben. Vereinzelt wird auch noch als Vorstufe experimental benutzt. Diese beiden Zweige enthalten neuere Softwareversionen, die jedoch unter Umständen nicht so gut (testing) bzw. kaum (unstable) getestet sind.

Jede Version hat einen Codenamen, der von Charakteren des Films "Toy Story" abstammt. Zur Zeit ist "woody" (3.0) stable und "sarge" der Name des testing-Zweigs. Unstable wird stets "sid" genannt. Sid war in dem Film Toy Story der Junge von nebenan, der Spielzeuge kaputt gemacht hat. Außerdem steht "sid" für "still in development". Ab und zu funktioniert es sehr gut Pakete aus unterschiedlichen Versionen zu mischen, sodass Komplett-Updates nicht nötig sind. In manchen Fällen aber, in denen zentrale Teile des Systems (zum Beispiel die glibc) sich unterscheiden, ist ein vollständiges Update nötig.

Da die Zeiträume zwischen den einzelnen Releases zzt. stets größer werden, für einige Aufgaben aber aktuelle Programmpakete benötigt werden (z.B. Spam- und Virenerkennung, Einbindung eines Dateiservers in einen ADS ), diese Versionen aber wegen Abhängigkeiten nicht ohne ein vollständiges Update installiert werden können, finden seit einiger Zeit sog. Backports von Unstable nach Stable stets größere Verbreitung.
Perspektivisch könnte dies auf einen Fork des Debian-Projektes hinaus laufen.

Zur Benennung der drei verschiedenen Debian-Versionen ist zu sagen, dass sie aus Sicht eines Serverbetreibers benannt werden. D.h. testing kann durchaus normal genutzt werden, ist aber nicht für den produktiven einsatz z.B. als Webserver gedacht. Childdistributions (Betriebssysteme, die auf Debian aufbauen) setzen häufig auf "testing". Besonders erwähnenswert sind da Xandros (http://wiki.linuxquestions.org/wiki/Xandros), Libranet (http://wiki.linuxquestions.org/wiki/Libranet) und Knoppix (benutzt unstable Pakete).

• Stable releases
  • 26.10.1995 0.93R6
  • 17.06.1996 1.1 (Buzz)
  • 12.12.1996 1.2 (Rex)
  • 05.06.1997 1.3 (Bo)
  • 24.07.1998 2.0 (Hamm)
  • 09.03.1999 2.1 (Slink)
  • 15.08.2 Tausend 2.2 (Potato)
  • 19.07.2002 3.0 (Woody)
  • ??.??.2004 3.1 (Sarge; wahrscheinlich noch 2004)
• Testing heißt derzeit Sarge und nachdem release von Sarge als stable wird testing Etch heißen.
• Unstable heißt Sid und wird auch zusätzlich so heißen.

Debian hat eine sehr ausgefeilte demokratische Organisationsstruktur mit einer Art Verfassung, dem Debian-Gesellschaftsvertrag und regelmäßigen Wahlen. Ein Teil des Gesellschaftsvertrages (Social Contract), sind die DFSG (Debian Free Software Guidelines, dt. Debian Richtlinen für freie Software), welche zur offiziellen Open-Source-Definition wurden.

Seit 26.04 2004 ist die Version 1.1 des Gesellschaftsvertrages gültig. Die eigentliche inhaltliche Änderung besagt, dass alle Komponenten des Debian-Systems (in main) frei sein müssen, nicht mehr ca. die Software. Die DFSG beziehen sich also nicht mehr ca. auf freie Software, sondern auf freie Arbeiten. In einer zusätzlichen Abstimmung haben die Entwickler in dem Juli 2004 beschlossen, dass diese Änderung erst nachdem Release von Sarge wirksam wird.

Debians Softwareprobleme werden allesamt öffentlich behandelt, so auch sämtliche Sicherheitsprobleme. Aspekte der Sicherheit werden öffentlich auf der debian-security Mailing-Liste diskutiert. Debians Sicherheitsgutachten werden über eine öffentliche Mailing-Liste gesendet (sowohl innerhalb als auch außerhalb) und auf einem öffentlichen Server veröffentlicht.

Sicherheits-Updates genießen höchste Priorität. Wenn ein Sicherheitsproblem in einem Debian-Paket entdeckt wird, wird ein Sicherheitsupdate so schnell wie möglich vorbereitet und für das stabile und instabile Release, einschließlich aller Architekturen, veröffentlicht.

Alle Informationen über Sicherheit sind an einer zentralen Stelle zu finden: http://security.debian.org/.

Das Debian-Team versucht immer, die gesamte Sicherheit seiner Distribution zu verbessern, beispielsweise durch automatische Paket-Signierungs- und Verifikations-Mechanismen.

Es wird zusätzlich versucht, eine nützliche Zahl von sicherheitsrelevanten Werkzeugen für System-Administratoren und zur Ãœberwachung zur Verfügung zu stellen. Entwickler versuchen, diese Werkzeuge fest mit der Distribution zu verbinden, um Sie anpassbarer zur Durchsetzung lokaler Sicherheits-Regelungen zu machen. Diese Werkzeuge schließen folgendes mit ein: integritätsprüfende Programme, allgemeine Prüfwerkzeuge, Werkzeuge zu dem Abhärten, Werkzeuge für Firewalls, Eindringlings-Erkennungs-Tools und vieles andere.

Paketbetreuer sind sich der Sicherheits-Probleme bewusst. Dies führt häufig zu "voreingestellt sicheren" Installationen von Diensten, die Sie ab und zu in Ihrer normalen Benutzung etwas einschränken. Dennoch versucht Debian, Sicherheitsaspekte und einfache Administration abzuwägen, zu dem Beispiel werden Dienste nicht inaktiv installiert, wie es bei den Distributionen der BSD-Familie üblich ist. Auf jeden Fall sind spezielle Sicherheitsaspekte, wie zu dem Beispiel setuid Programme, Teil der Debian Policy.

Hinweis: Dieser Abschnitt wurde größtenteils von http://www.debian.org/doc/manuals/securing-debian-howto/ch2.de.html#s2.3 übernommen, der Text steht dort unter GNU FDL.