Avant de commencer
- Un annuaire d'identités (Microsoft Entra ID, Google Workspace, Active Directory…), voir la gestion des identités
En clair
Un MDM (Mobile Device Management), c'est la télécommande du service informatique pour tous les appareils de l'entreprise. Depuis une console, on applique les mêmes réglages à cent ordinateurs ou téléphones, on installe les applications, on vérifie que le disque est chiffré et les mises à jour faites, et on efface à distance un téléphone volé. Sans MDM, chaque appareil se configure à la main… et personne ne sait vraiment dans quel état il est.
Aucun prix n'est donné ici : les offres changent souvent et dépendent du nombre d'appareils. Informations vérifiées le 20 octobre 2026.
1. MDM, MAM, UEM : de quoi parle-t-on ?
| Sigle | Signification | Ce qu'il gère |
|---|---|---|
| MDM | Mobile Device Management | L'appareil entier : réglages, restrictions, applications, chiffrement, effacement |
| MAM | Mobile Application Management | Seulement les applications professionnelles et leurs données, sans prendre la main sur l'appareil. Idéal pour un téléphone personnel. |
| UEM | Unified Endpoint Management | MDM étendu à tous les systèmes (Windows, macOS, Linux, iOS, Android) dans une seule console. La plupart des « MDM » actuels sont en réalité des UEM. |
| EMM | Enterprise Mobility Management | Ancien terme regroupant MDM, MAM et gestion des contenus, remplacé par UEM |
Le MDM ne remplace pas les autres outils, il les complète :
| Outil | Rôle | Lien avec le MDM |
|---|---|---|
| Inventaire et assistance (GLPI…) | Connaître le parc, gérer les tickets | Le MDM remonte un inventaire précis ; GLPI garde le cycle de vie, les contrats et les tickets. Voir installer GLPI. |
| Stratégies de groupe (GPO, Active Directory) | Configurer les PC Windows du domaine | Le MDM fait le même travail pour des PC qui ne voient jamais le réseau de l'entreprise |
| Antivirus / EDR | Détecter et bloquer les menaces | Le MDM le déploie et vérifie qu'il tourne. Voir antivirus et sécurité des systèmes. |
| Accès conditionnel | Autoriser ou non l'accès aux services | Il s'appuie sur l'état « conforme » donné par le MDM. Voir l'accès conditionnel. |
2. Ce que permet un MDM
- Configurer : Wi-Fi, VPN, messagerie, certificats, fond d'écran, restrictions (caméra, clé USB, installation d'applications).
- Installer et mettre à jour les applications sans intervention de l'utilisateur, et retirer celles qui ne doivent pas être là.
- Imposer la sécurité : code de verrouillage, chiffrement du disque (BitLocker, FileVault), pare-feu, version minimale du système.
- Piloter les mises à jour du système : délais, fenêtres de redémarrage, échéance obligatoire.
- Mesurer la conformité : un appareil non chiffré ou trop ancien est marqué « non conforme », et peut perdre l'accès à la messagerie.
- Agir à distance : verrouiller, localiser, effacer complètement, ou effacer uniquement les données professionnelles.
- Préparer les nouveaux appareils sans y toucher : l'appareil sort du carton, l'utilisateur se connecte avec son compte, et tout s'installe tout seul.
Ce qu'un MDM ne doit pas faire
Sur un appareil personnel, l'entreprise n'a pas à voir les photos, les messages ou la position de l'utilisateur. Les modes d'inscription « personnels » (section 3) sont conçus pour cela : l'entreprise ne gère que la partie professionnelle. En France, la surveillance des salariés doit être proportionnée, justifiée et annoncée : informez les utilisateurs de ce que le MDM voit et ne voit pas, et associez les représentants du personnel s'il y en a.
3. Les modes d'inscription
Le choix du mode dépend de qui possède l'appareil. C'est la décision la plus importante d'un projet MDM.
| Mode | Propriétaire | Contrôle de l'entreprise | Exemple |
|---|---|---|---|
| BYOD (Bring Your Own Device) | L'utilisateur | Uniquement la partie professionnelle (profil de travail Android, inscription utilisateur Apple, MAM) | Le téléphone personnel d'un salarié qui lit ses courriels professionnels |
| COPE (Corporate Owned, Personally Enabled) | L'entreprise | Appareil géré, avec un espace personnel séparé | Un téléphone de fonction avec usage personnel autorisé |
| COBO (Corporate Owned, Business Only) | L'entreprise | Contrôle complet | Un PC portable professionnel |
| Appareil dédié (kiosque) | L'entreprise | Verrouillé sur une ou quelques applications | Une tablette d'accueil, un terminal de préparation de commandes |
Les inscriptions automatiques évitent toute préparation manuelle :
| Plateforme | Mécanisme | Principe |
|---|---|---|
| Apple (Mac, iPhone, iPad) | Inscription automatique (ADE) via Apple Business ou Apple School Manager | Les appareils achetés auprès d'Apple ou d'un revendeur agréé sont rattachés à l'entreprise. Au premier démarrage, ils rejoignent le MDM, et l'utilisateur ne peut pas retirer la gestion. |
| Windows | Windows Autopilot | L'identifiant matériel du PC est enregistré ; à la première connexion avec un compte de l'entreprise, le PC rejoint Entra ID et le MDM, et les applications s'installent. |
| Android | Android Enterprise : inscription sans contact (zero-touch), QR code, ou Knox Mobile Enrollment pour Samsung | Le téléphone se configure à la première mise en route selon le mode choisi |
Achetez par le bon canal
L'inscription automatique ne fonctionne que pour les appareils enregistrés par le vendeur dans le compte de l'entreprise. Donnez votre identifiant Apple Business, votre identifiant de revendeur Android zero-touch ou votre locataire Autopilot à vos fournisseurs avant la commande.
4. Ce qui change en 2026
- Apple Business remplace Apple Business Manager (annonce de mars 2026). La plateforme, sans frais, ajoute un MDM intégré de base, des « blueprints » pour préparer les appareils avant leur livraison, et la création automatique des comptes Apple gérés depuis Entra ID ou Google Workspace. Pour une petite structure 100 % Apple, cela peut suffire ; au-delà, un MDM complet reste nécessaire.
- Apple passe à la gestion déclarative (DDM) : avec les systèmes 27 annoncés à la WWDC 2026, les anciennes commandes MDM de mise à jour logicielle cessent de fonctionner. Vérifiez que votre MDM gère les mises à jour en mode déclaratif avant de laisser les appareils passer en version 27. Les échanges de gestion devront aussi utiliser TLS 1.2 au minimum.
- Microsoft Intune gère Windows 11, macOS, iOS/iPadOS, Android, ChromeOS et Linux (Ubuntu 24.04 et 26.04 LTS, Red Hat Enterprise Linux 9 et 10). Windows 10, sans support depuis octobre 2025, n'y est plus qu'« autorisé », sans garantie de fonctionnement. Le mode Android « administrateur d'appareil » n'est plus pris en charge sur les appareils avec services Google depuis décembre 2024 : Android Enterprise est la seule voie.
- Windows Autopilot device preparation est la nouvelle architecture d'Autopilot, plus simple à mettre en place, qui ajoute automatiquement le PC à un groupe pendant l'installation.
- Kandji est devenu Iru (octobre 2025) et gère désormais Windows et Android en plus d'Apple.
5. Les solutions du marché
Solutions propriétaires
| Solution | Plateformes | Hébergement | À retenir |
|---|---|---|---|
| Microsoft Intune | Windows, macOS, iOS, Android, Linux, ChromeOS | Cloud Microsoft | Le choix naturel avec Microsoft 365 et Entra ID : conformité et accès conditionnel intégrés, Autopilot. Souvent déjà inclus dans les licences Microsoft 365 Business Premium ou E3/E5. |
| Jamf Pro | Apple | Cloud ou sur site | La référence historique pour les parcs Apple importants, très complet |
| Iru (ex-Kandji) | Apple, Windows, Android | Cloud | Interface simple, nombreuses automatisations, sécurité intégrée |
| Mosyle | Apple | Cloud | Très répandu dans l'éducation et les PME Apple |
| Apple Business | Apple | Cloud Apple | MDM de base intégré, pour les petites structures 100 % Apple |
| Google Endpoint Management | Android, iOS, ChromeOS, Windows | Cloud Google | Inclus dans Google Workspace, adapté aux entreprises sous Workspace |
| Omnissa Workspace ONE (ex-VMware) | Toutes | Cloud ou sur site | UEM complet pour les grandes organisations |
| Relution (Allemagne) | Apple, Android, Windows | Cloud ou sur site | Éditeur européen, apprécié dans l'éducation et le secteur public |
| ManageEngine Endpoint Central / MDM Plus, Hexnode, Scalefusion, Miradore | Toutes | Cloud (sur site pour certains) | Alternatives polyvalentes pour PME |
Solutions libres ou à code ouvert
| Solution | Licence | Plateformes | À retenir |
|---|---|---|---|
| Fleet | MIT pour le cœur, fonctions Premium sous licence commerciale | macOS, Windows, Linux, iOS, Android, ChromeOS | Basé sur osquery : inventaire et requêtes très détaillés, MDM Apple et Windows. Auto-hébergeable (Docker, Kubernetes) ou en ligne. Configuration possible « as code » avec Git. |
| Headwind MDM | Édition Community gratuite au code ouvert, édition Enterprise payante | Android | Pour des flottes Android dédiées (kiosque, terminaux), auto-hébergeable, inscription par QR code |
| NanoMDM / MicroMDM | Libres | Apple | Briques de serveur MDM Apple pour équipes techniques ; pas de console clé en main |
Les limites du libre en MDM
Gérer des appareils Apple exige un certificat de notification push délivré par Apple, et les inscriptions automatiques passent par les services d'Apple, de Google ou de Microsoft, quel que soit le MDM. Un MDM auto-hébergé réduit les données confiées à un éditeur, mais pas la dépendance aux constructeurs.
6. Quoi choisir ?
| Situation | Choix conseillé |
|---|---|
| Entreprise sous Microsoft 365, parc surtout Windows | Intune, avec Autopilot et l'accès conditionnel |
| Parc majoritairement Apple | Jamf Pro, Iru ou Mosyle ; Apple Business seul pour une très petite structure |
| Parc mixte avec beaucoup de Mac | Intune pour Windows, un MDM Apple spécialisé pour les Mac, ou un UEM unique si l'équipe est petite |
| Entreprise sous Google Workspace | Google Endpoint Management, complété si besoin |
| Flotte Android dédiée (terminaux, tablettes de service) | Android Enterprise en mode dédié avec un UEM, ou Headwind MDM auto-hébergé |
| Exigence de souveraineté ou d'hébergement sur site | Relution sur site, Fleet ou Workspace ONE auto-hébergés |
| Équipe technique voulant tout versionner | Fleet, configuration dans Git |
| Homelab | Fleet en Docker pour découvrir l'inventaire osquery et la gestion des Mac et PC de la maison |
7. Déployer un MDM, étape par étape
- Faites l'inventaire : combien d'appareils, quels systèmes, qui les possède, comment ils sont achetés.
- Décidez la politique BYOD : autorise-t-on les appareils personnels, et pour quels usages (messagerie, Teams, rien) ? Rédigez une charte simple.
- Préparez les prérequis : annuaire d'identités synchronisé, compte Apple Business, certificat push Apple, liaison Android Enterprise, enregistrement Autopilot, canal d'achat.
- Définissez un socle minimal par plateforme : chiffrement, code de verrouillage, mises à jour automatiques, antivirus, pare-feu, applications de base. Moins de règles bien appliquées valent mieux qu'une centaine mal comprises.
- Pilotez sur un petit groupe (l'équipe IT, puis quelques volontaires) pendant deux à quatre semaines. Notez chaque blocage.
- Communiquez : ce qui change, ce que le MDM voit, ce qu'il ne voit pas, qui contacter.
- Déployez par vagues et suivez le taux d'appareils conformes.
- Activez la conformité dans l'accès conditionnel en dernier, d'abord en mode « rapport seulement », pour ne bloquer personne par erreur.
- Documentez les procédures (arrivée, départ, perte ou vol, remplacement d'appareil) dans votre base de connaissances.
Le départ d'un salarié
Prévoyez la procédure avant d'en avoir besoin : effacement complet pour un appareil de l'entreprise, effacement des seules données professionnelles pour un appareil personnel, et vérification que l'appareil est bien retiré du MDM et de l'inscription automatique s'il est revendu. Un Mac ou un iPhone resté rattaché au compte Apple Business de l'entreprise se réinscrira chez vous au prochain démarrage de son nouveau propriétaire.
8. Socle de sécurité recommandé
| Réglage | Windows | macOS | iOS / iPadOS | Android |
|---|---|---|---|---|
| Chiffrement du stockage | BitLocker, clé de secours sauvegardée dans le MDM ou l'annuaire | FileVault, clé de secours dans le MDM | Actif dès qu'un code est défini | Actif par défaut sur les appareils récents |
| Verrouillage | Windows Hello ou mot de passe, verrouillage automatique | Mot de passe, verrouillage automatique | Code à 6 chiffres minimum, Face ID ou Touch ID | Code ou biométrie |
| Mises à jour | Windows Update for Business, échéance de 7 jours | Mises à jour déclaratives avec échéance | Mises à jour déclaratives avec échéance | Mises à jour système et Google Play imposées |
| Comptes | Utilisateur standard, pas d'administrateur local au quotidien (LAPS pour le compte local) | Compte standard, administrateur géré | Comptes Apple gérés | Profil de travail ou appareil entièrement géré |
| Protection | Microsoft Defender ou EDR tiers, pare-feu | XProtect, EDR, pare-feu | Pas d'applications hors App Store ou magasin d'entreprise | Google Play Protect, sources inconnues bloquées |
| Conformité | Version minimale, BitLocker actif, antivirus à jour | Version minimale, FileVault actif | Version minimale, appareil non débridé | Version minimale, intégrité de l'appareil vérifiée |
9. Liste de contrôle
| Point | Fait ? |
|---|---|
| Le parc et ses propriétaires (entreprise ou personnel) sont connus | ☐ |
| La politique BYOD est écrite et communiquée | ☐ |
| Apple Business, Android Enterprise et Autopilot sont reliés au MDM | ☐ |
| Les fournisseurs enregistrent les nouveaux appareils pour l'inscription automatique | ☐ |
| Un socle minimal de sécurité est défini par plateforme | ☐ |
| Les clés de secours BitLocker et FileVault sont sauvegardées | ☐ |
| Un groupe pilote a validé la configuration | ☐ |
| La conformité est reliée à l'accès conditionnel, testée en mode rapport | ☐ |
| Les procédures d'arrivée, de départ et de perte sont documentées | ☐ |
| Le MDM Apple gère les mises à jour en mode déclaratif avant le passage aux systèmes 27 | ☐ |
| Le certificat push Apple et ses dates de renouvellement sont suivis | ☐ |
Sources
- Microsoft : systèmes pris en charge par Intune
- Microsoft : inscrire les appareils dans Intune
- Microsoft : Windows Autopilot device preparation
- IT Brief : Apple lance Apple Business, qui remplace Apple Business Manager (mars 2026)
- Nouveautés de gestion des appareils Apple annoncées à la WWDC 2026
- Computerworld : Kandji devient Iru et s'ouvre à Windows et Android
- Fleet : lettre d'information d'octobre 2026
- Fleet : licence du code source
- Headwind MDM : ce que signifie un MDM open source
- Relution : site officiel