Les quatre premiers articles de ce dossier ont posé la définition du MDM, son vocabulaire, l’offre gratuite d’Apple Business et les solutions concurrentes. Il reste l’essentiel : décider, installer, et le faire dans les règles. Cet article donne une méthode en trois temps, et les repères sur la partie qu’on oublie le plus souvent, l’information des salariés.
Temps 1 : choisir
Partir de la situation, pas de l’outil
Votre situation
Piste à examiner d’abord
Moins de 10 appareils Apple, besoins simples
Le MDM intégré d’Apple Business. Gratuit, il couvre la configuration, les comptes et l’effacement à distance.
10 à 30 appareils Apple, besoin de preuves (client, assurance)
Un MDM tiers spécialisé Apple. Mosyle propose une formule gratuite jusqu’à 30 appareils, ce qui mérite un essai [1].
Parc mixte Mac et Windows, et Microsoft 365 en place
Microsoft Intune, si votre abonnement l’inclut (Business Premium) [2].
Parc mixte, hors Microsoft 365
Une solution multi-plateformes comme Hexnode [3].
Exigence d’hébergement européen exprimée par vos clients
Un éditeur français ou européen ; demandez-lui la preuve de ce qu’il avance [4].
Un informaticien dans l’équipe, envie de garder la main
Fleet, outil libre à héberger soi-même [5].
Chiffrer, sans se raconter d’histoire
Trois exemples calculés sur les prix publics relevés le 21 octobre 2026, en dollars, hors taxes, sur douze mois :
8 Mac et 5 iPhone, besoins simples : Apple Business, 0 € ; ou Mosyle Business FREE, 0 € (jusqu’à 30 appareils) [1].
20 appareils Apple, besoin de preuves : Mosyle Business Premium, 1 $ par appareil et par mois avec 30 licences minimum, soit 360 $ par an au minimum. Fuse pour macOS, à 3 $, ferait 1 080 $ par an au minimum [1].
15 postes mixtes : Hexnode à partir de 2,20 $, soit environ 400 $ par an, si le prix affiché est bien annuel : le site ne le précise pas [3].
Retenez un principe : le prix des licences est rarement le poste le plus lourd. Le plus coûteux, c’est le temps de mise en place, de suivi, de renouvellement des certificats et d’assistance. Un outil gratuit mal tenu coûte plus qu’un outil à quelques centaines d’euros maintenu par quelqu’un qui sait ce qu’il fait.
Les critères qui comptent vraiment en TPE
La simplicité d’usage. Si l’outil demande un spécialiste à chaque modification, il ne sera pas utilisé.
L’inscription automatisée avec Apple Business. Sans elle, la configuration d’un appareil neuf redevient manuelle.
Les conditions de sortie. Que se passe-t-il à la fin du contrat, et comment bascule-t-on vers un autre outil ?
Le support. En français, en journée, par quelqu’un de joignable.
Les preuves. Si on vous demande un jour d’attester de l’état du parc, l’outil sait-il l’exporter ?
Temps 2 : déployer
Un calendrier réaliste en trois semaines
Semaine 1 : préparer.
Dresser l’inventaire : modèle, numéro de série, utilisateur, mode d’achat, version du système.
Désigner deux administrateurs nommément. Un seul, c’est un risque le jour de ses vacances.
Lancer l’inscription à Apple Business. La vérification de l’existence légale de l’entreprise prend plusieurs jours [6].
Rédiger l’information aux salariés (voir plus bas).
Semaine 2 : tester.
Relier l’outil choisi à Apple Business, ou activer le service intégré.
Créer un premier modèle de configuration (un Blueprint chez Apple) sobre : chiffrement, code de verrouillage, mises à jour, quelques applications.
L’appliquer à un ou deux appareils que l’on peut effacer sans conséquence, et vérifier que tout se passe comme prévu.
Semaine 3 : généraliser.
Inscrire les appareils par vagues, en commençant par les moins critiques.
Remettre l’information aux salariés avant d’activer l’outil sur leur appareil.
Le compte Apple de l’administrateur est personnel. Le certificat « push » qui relie un MDM tiers aux appareils Apple dure un an et doit être renouvelé avec le même identifiant Apple que celui qui l’a créé ; sinon il faut réinscrire tous les appareils [7]. Créez-le avec une adresse de l’entreprise, pas celle d’une personne qui peut partir, et notez la date d’échéance dans un agenda partagé, trois semaines avant [7].
Le certificat expire sans que personne s’en aperçoive. Tant qu’il n’est pas renouvelé, les appareils ne sont plus gérables [7].
La clé de récupération FileVault n’est pas stockée. Si le salarié oublie son mot de passe et que la clé n’existe nulle part, le disque est perdu. Vérifiez où l’outil la garde avant d’activer le chiffrement.
L’effacement à distance est irréversible. Écrivez qui peut le déclencher, dans quels cas, et vérifiez la sauvegarde avant, comme l’explique notre article sur la règle 3-2-1.
Les appareils achetés hors circuit. Occasion, marketplace, achat personnel remboursé : ils ne sont pas rattachés automatiquement. Il faut passer par Apple Configurator ou par une inscription via un compte [8].
Tout imposer le premier jour. Des réglages trop stricts bloquent les salariés, qui contournent ensuite l’outil. Commencez par peu de règles, élargissez ensuite.
Régler la même chose à deux endroits. Si un réglage est défini dans l’outil et aussi à la main, ou dans deux outils, ils se contredisent. Une seule source de vérité par réglage.
Temps 3 : le cadre légal et l’information des salariés
Un MDM est un outil de l’employeur installé sur des appareils utilisés par des personnes. Cela l’inscrit dans le droit du travail et dans le RGPD. Ce qui suit résume les repères de la CNIL ; ce n’est pas un avis juridique, et un cas particulier mérite l’avis d’un avocat ou de votre délégué à la protection des données s’il y en a un.
Ce que dit la CNIL
L’employeur peut contrôler et limiter l’usage des outils informatiques, notamment pour la sécurité du réseau et pour éviter l’usage personnel excessif, à condition d’informer les salariés [9].
Chaque salarié doit être informé des finalités du dispositif, de sa base légale, des destinataires des données, de leur durée de conservation, et de ses droits d’accès, de rectification et d’opposition, ainsi que de la possibilité de saisir la CNIL. Cette information peut passer par une charte, une note individuelle ou une note de service [9].
Les représentants du personnel doivent être informés et consultés avant la mise en place d’un dispositif permettant de contrôler l’activité des salariés. Pour une entreprise qui a un comité social et économique (CSE), c’est une obligation à ne pas oublier ; la référence actuelle est l’article L.2312-38 du Code du travail [10]. La page de la CNIL consultée cite encore l’ancien article L.2323-32, d’avant la création du CSE.
Les dispositifs doivent figurer au registre des traitements, et le délégué à la protection des données, s’il existe, doit être associé [9].
Le principe de proportionnalité s’applique. Les enregistreurs de frappe sont illicites sauf circonstances exceptionnelles, et les journaux de connexion ne doivent pas être conservés plus de six mois [9]. Un dispositif de surveillance constante de l’activité des salariés impose une analyse d’impact [10].
Ce que cela change pour un MDM
Dans l’ensemble, un MDM bien utilisé relève de la sécurité des appareils, pas de la surveillance. Quelques réflexes évitent les ennuis :
Écrivez ce que l’outil voit et ce qu’il ne voit pas. Il voit l’état de l’appareil (modèle, version, chiffrement, applications installées), pas le contenu des fichiers ni de la navigation. Si l’outil choisi offre un filtrage Web ou une localisation, décidez et écrivez à quelles conditions.
Localisation : seulement en cas de perte. La CNIL interdit la collecte de données de localisation en dehors du temps de travail, y compris sur le trajet domicile-travail [10]. Activez la localisation d’un appareil perdu quand il l’est, pas en continu.
Appareils personnels : le plus de prudence possible. Utilisez le mode d’inscription d’utilisateur d’Apple, qui limite la gestion au compte professionnel et aux applications gérées [8], et faites-le figurer dans une charte signée.
Fichiers et messages personnels. Les messages et fichiers sont professionnels par défaut, mais ceux que le salarié identifie clairement comme personnels (« Privé », « Personnel ») restent protégés [9]. À ne pas oublier avant d’effacer un appareil ou d’ouvrir ses données.
Un modèle de charte en cinq lignes
Une note courte suffit, que chaque salarié signe ou accuse réception :
Les appareils professionnels sont administrés à distance par l’entreprise, pour assurer leur sécurité.
Voici ce que l’outil collecte (modèle, système, chiffrement, applications) et ce qu’il ne collecte pas.
Voici qui y a accès et combien de temps les données sont conservées.
En cas de perte ou de vol, l’appareil peut être verrouillé, localisé ou effacé.
Voici vos droits, et la personne à contacter.
En résumé
Question
Réponse
Faut-il un MDM ?
À partir de trois ou quatre appareils partagés entre des salariés, oui
Lequel ?
Le plus simple qui couvre votre parc : souvent le MDM d’Apple Business seul
Quand passer à un outil tiers ?
Parc mixte, preuves exigées, ou besoins de scripts et de conformité
Combien ?
De 0 à quelques centaines d’euros par an en licences ; le temps de mise en place pèse davantage
Quel risque légal ?
Faible si les salariés sont informés, le CSE consulté et l’outil proportionné
Ce dossier s’achève ici. Si vous avez raté un épisode : définition, vocabulaire, Apple Business, solutions tierces.
Mettre en place un MDM ne se résume pas à choisir un logiciel : il faut décider qui administre, rédiger l’information aux salariés, prévoir le renouvellement des certificats et tester avant de généraliser. Makantet peut prendre en charge ces étapes avec vous : diagnostic de votre parc, choix de l’outil, inscription à Apple Business, déploiement et documentation. Contactez-nous pour en parler.
Ce site utilise des cookies techniques nécessaires à son fonctionnement. Avec votre accord, il affiche aussi la carte interactive Google Maps de la page Contact, qui dépose ses propres cookies. Vous pouvez modifier votre choix à tout moment via le lien « Gérer les cookies » en bas de page.
En savoir plus
