MDM Apple : gérer Mac, iPhone et iPad en entreprise

Qu’est-ce qu’un MDM ?

MDM signifie Mobile Device Management, la gestion des appareils mobiles. Malgré son nom, il gère aussi bien les Mac que les iPhone et les iPad. Un MDM Apple applique les règles de l’entreprise à toute sa flotte, à distance : réglages, applications, chiffrement, mises à jour.

Le MDM s’appuie sur le cadre de gestion qu’Apple intègre à macOS, iOS et iPadOS. Il envoie à chaque appareil des profils de configuration et des commandes, que l’appareil applique de lui-même. Les règles se définissent une fois, puis valent pour toute la flotte.

À partir de combien d’appareils ?

Nous situons le seuil à dix appareils, ou dès l’ouverture d’un deuxième site. À partir de là, le temps gagné justifie un MDM. Une flotte plus petite peut en avoir besoin plus tôt, en particulier quand une seule personne s’en occupe en plus de son métier.

Ces situations montrent qu’une flotte Apple a besoin d’un MDM :

• Un départ qui bloque un appareil
  Le MacBook rendu reste lié au compte Apple personnel du collaborateur. Sans son code, l’entreprise ne peut ni l’effacer ni le confier à quelqu’un d’autre.
• Une arrivée mal préparée
  Le poste du nouveau collaborateur se prépare à la main, souvent au dernier moment. Ses premiers jours passent en installations et en demandes d’accès.
• Un appareil perdu sans réponse claire
  Un iPhone ou un Mac disparaît, et personne ne sait s’il était chiffré. L’entreprise ne peut pas dire si les données de ses clients sont exposées.

Le MDM est l’outil central de la gestion de parc Apple, sans en être le seul. Il s’occupe des appareils, et des procédures écrites encadrent le reste.

Comment fonctionne un MDM avec Apple Business ?

Le MDM s’appuie sur Apple Business, le portail gratuit d’Apple pour les entreprises. Depuis avril 2026, il remplace Apple Business Manager, Apple Business Essentials et Apple Business Connect.

Le compte Apple Business

L’entreprise y ouvre un compte à son nom et y inscrit ses appareils. Chaque appareil inscrit est ensuite attribué au MDM, qui le prend en charge dès son premier démarrage. Le compte et les appareils restent ainsi la propriété de l’entreprise, quel que soit le MDM choisi.

Supervision et verrouillage MDM

Un appareil inscrit par Apple Business est « supervisé ». Le MDM le prend en main dès le premier démarrage et peut empêcher l’utilisateur de retirer la gestion. C’est ce que l’on appelle parfois le verrouillage MDM.

Un iPhone ou un Mac inscrit à la main, hors d’Apple Business, laisse en revanche l’utilisateur retirer la gestion depuis ses réglages. Les méthodes d’inscription n’offrent donc pas toutes le même contrôle.

Les comptes Apple gérés

Les comptes Apple gérés sont créés dans Apple Business et appartiennent à l’entreprise. Ils ne sont pas nécessaires pour gérer les appareils : ils servent par exemple à inscrire un appareil personnel ou à partager un iPad. Si l’entreprise active la capture de domaine, un choix irréversible, les titulaires de comptes Apple ouverts avec une adresse de ce domaine ont trente jours pour les transférer à l’organisation ou en changer l’adresse. Sans réponse, le compte reste personnel et change d’adresse.

Ce que le MDM automatise dans une flotte Apple

Chaque arrivée demande de préparer un poste et d’installer les applications. Chaque départ demande de récupérer l’appareil et de le préparer pour le collaborateur suivant. Sans MDM, ces tâches retombent sur le dirigeant ou sur un responsable d’équipe, et une étape oubliée laisse un accès ouvert ou un appareil bloqué.

Avec un MDM, elles se font à l’identique à chaque fois, et à distance. Si la personne qui s’occupe de la flotte s’absente, une autre peut prendre le relais.

Un Mac prêt dès le déballage

Le Mac neuf est livré directement au bureau, ou chez le collaborateur. Il le déballe, choisit le réseau Wi-Fi et se connecte avec ses identifiants professionnels. Les réglages, les applications et la messagerie s’installent ensuite seuls. Le poste est prêt en quelques étapes à l’écran.

Ce déploiement sans intervention suppose que l’appareil soit inscrit dans Apple Business dès l’achat. L’entreprise, ou son prestataire, communique son identifiant d’organisation au revendeur et enregistre le numéro de ce revendeur dans Apple Business : le revendeur peut alors rattacher l’appareil au moment de la vente.

Nous travaillons par exemple avec Data Quest, revendeur agréé Apple. D’autres revendeurs, comme Bechtle, Brack ou Digitec Galaxus, proposent aussi ce service : Apple en publie la liste.

Applications et réglages

Les applications se déploient depuis la console, avec leurs licences : suite bureautique, logiciels métier, VPN, antivirus. Les réglages suivent le même chemin : réseau Wi-Fi, imprimantes, règles de sécurité, restrictions. Un changement décidé une fois s’applique à toute la flotte, ou à un groupe d’appareils. Il n’est plus nécessaire de passer d’un poste à l’autre.

Mises à jour planifiées

Apple publie des correctifs de sécurité plusieurs fois par an, et une nouvelle version majeure de macOS et d’iOS chaque automne. Si les mises à jour dépendent de chaque utilisateur, une partie de la flotte reste exposée à des failles déjà corrigées.

Le MDM fixe une date limite pour chaque nouvelle version du système. Avant l’échéance, le collaborateur choisit son moment, puis la mise à jour s’installe d’elle-même. Toute la flotte avance au même rythme, et la console signale les appareils en retard.

Chez Avepto, les mises à jour de sécurité s’appliquent sous 48 heures. Chaque nouvelle version majeure est d’abord testée sur quelques appareils, avec les logiciels métier du client, puis déployée sur le reste de la flotte. Les collaborateurs évitent ainsi les mauvaises surprises au lendemain d’une mise à jour.

Inventaire de la flotte

Le MDM tient l’inventaire à jour de lui-même : modèle, utilisateur, version du système, état du chiffrement. Chaque appareil reçoit la même configuration de base, ce qui réduit les écarts entre les postes. Un appareil qui sort des règles apparaît dans la console avant de devenir un incident.

L’inventaire indique aussi l’âge de chaque appareil et repère ceux qui ne recevront plus de nouvelle version du système.

Départ et verrou d’activation

Avec le MDM, un départ suit quatre étapes, sans dépendre du collaborateur qui s’en va :

1. L’accès à son appareil de travail est bloqué le jour de son départ.
2. Ses données de travail restent dans les outils de l’entreprise.
3. Sa session utilisateur est supprimée, et une nouvelle est créée pour le collaborateur suivant.
4. Le Mac ou l’iPhone est réattribué au collaborateur suivant, qui le reçoit prêt à l’emploi.

La désactivation de ses comptes Microsoft 365, de sa messagerie et des autres services relève d’actions complémentaires, à prévoir dans la même procédure.

Le collaborateur s’est peut-être connecté à son Mac ou à son iPhone professionnel avec son compte Apple personnel. Sur un appareil inscrit dans Apple Business et supervisé par le MDM, ce compte n’active pas le verrou d’activation, sauf si le MDM l’autorise. Le bon réglage : le MDM n’autorise que le verrou de l’entreprise, lié à l’organisation.

Le risque concerne les appareils restés hors d’Apple Business : leur verrou suit le compte personnel du collaborateur. Pour les récupérer, il faut son code, ou une demande à Apple avec la preuve d’achat. Un appareil ajouté à Apple Business avant l’activation du verrou permet aussi à l’entreprise de le lever elle-même.

En fin de leasing ou avant une revente, l’ordre compte : lever le verrou de l’entreprise, effacer l’appareil, puis le retirer d’Apple Business. Une fois l’appareil retiré, son verrou d’activation ne peut plus être géré depuis Apple Business.

Sécuriser une flotte Apple avec un MDM

Un MacBook oublié dans un train ou volé dans une voiture contient la messagerie, des documents de clients et l’accès aux outils de l’entreprise. Ce qui se passe ensuite dépend des règles que le MDM appliquait déjà.

Quels Mac sont chiffrés ? Où sont leurs clés de récupération ? Sans MDM, ces questions restent souvent sans réponse. L’entreprise ne peut alors pas dire si les données d’un appareil perdu ou volé sont exposées.

Chiffrement FileVault

Sans chiffrement FileVault, le mot de passe de session ne suffit pas à protéger les données d’un Mac. Avec le chiffrement imposé par le MDM, le disque reste illisible sans la clé. Cette clé de récupération est conservée par l’entreprise, et non par le collaborateur. Sur iPhone et iPad, le MDM impose un code d’accès, qui active la protection des données.

Verrouiller ou effacer à distance

Dès qu’un appareil perdu ou volé se reconnecte, le MDM peut le verrouiller ou l’effacer à distance. Le verrou d’activation, lié à l’organisation, empêche ensuite de le réactiver sans l’accord de l’entreprise. La console garde la trace de chaque action, utile pour documenter l’incident.

Quel MDM Apple choisir ? Comparatif et prix

Le meilleur MDM est celui qui correspond à la flotte et aux outils déjà en place. Le choix dépend surtout de trois éléments : la présence de PC Windows, l’abonnement Microsoft 365 et les exigences de preuve.

Spécialistes ou multiplateformes

Les solutions du marché se répartissent en deux familles :

1. Les spécialistes Apple
   Jamf, Mosyle et Iru (anciennement Kandji) sont conçus pour les appareils Apple. Ils suivent de près chaque version de macOS et d’iOS.
2. Les outils multiplateformes
   Microsoft Intune, Omnissa Workspace ONE, JumpCloud et Hexnode gèrent aussi Windows et Android, depuis une seule console.

Trois critères de choix

Trois éléments orientent le choix :

1. Des PC Windows dans le parc
   Une console unique pour les Mac et les PC paraît plus simple, mais elle suit souvent les Mac de moins près. Beaucoup d’entreprises gèrent les PC avec Intune et les Mac avec un outil spécialisé, chacun dans ce qu’il fait le mieux.
2. Un abonnement Microsoft 365 Business Premium
   Il comprend Intune, mais aussi d’autres services de Microsoft 365, notamment de sécurité. C’est un atout pour les PC, sans être à lui seul une raison de gérer les Mac avec Intune.
3. Une preuve de chiffrement exigée
   Un client ou un assureur peut la demander. Vérifiez que le MDM permet d’extraire l’état du chiffrement de chaque appareil.

Comparatif des prix MDM

Prix publics relevés en octobre 2026, convertis en francs et arrondis. Ils varient selon la formule, le nombre d’appareils et la durée d’engagement. Sources : pages tarifs de Mosyle, Microsoft, Omnissa, JumpCloud et Hexnode.

Existe-t-il un MDM Apple gratuit ?

Oui, il en existe plusieurs. L’outil de gestion inclus dans Apple Business est gratuit. Mosyle propose une formule gratuite jusqu’à 30 appareils, et Jamf Now jusqu’à 3 appareils.

L’outil gratuit d’Apple Business couvre les besoins de base :

• Le chiffrement des Mac
  Apple Business active FileVault, conserve les clés de récupération et indique, pour chaque Mac, si le chiffrement est actif.
• Les mises à jour
  Apple Business fixe une date limite aux mises à jour du système.
• Les applications et les réglages
  Apple Business installe les applications et applique les réglages : Wi-Fi, VPN, code d’accès, pare-feu.

Les limites de l’outil gratuit apparaissent quand la flotte grandit. La documentation d’Apple ne décrit pas de rapport de conformité pour l’ensemble du parc, ce que demandent parfois un client ou un assureur.

Surtout, Apple ne prend pas en charge la migration des appareils depuis l’outil gratuit d’Apple Business vers un autre MDM. Pour en changer, chaque appareil doit être désinscrit puis réinscrit, ce qui retire ses réglages et peut retirer ses applications gérées. Entre deux MDM tiers, Apple permet en revanche, depuis iOS 26 et macOS 26, de migrer sans effacement les appareils achetés via Apple Business.

Dans tous les cas, gratuit ne veut pas dire sans coût, et disponible ne veut pas dire simple à mettre en œuvre. Quelqu’un doit configurer l’outil, définir les règles, suivre la flotte et traiter chaque arrivée et chaque départ. Choisir un MDM est à la portée d’une PME. Le déployer correctement et le maintenir dans la durée est un métier.

Déployer un MDM Apple : en interne ou avec un prestataire

La réponse dépend d’abord de la taille de la flotte : au-delà de dix appareils, le suivi du MDM devient une tâche régulière. Elle dépend aussi de la complexité de l’environnement, avec plusieurs sites, des PC Windows ou des exigences de clients.

Deux questions aident à trancher :

1. Combien d’heures par mois l’entreprise consacre-t-elle à l’informatique ?
   En additionnant le temps du dirigeant et de chaque collaborateur.
2. Une personne est-elle désignée pour s’en occuper ?
   Avec le temps et les compétences que cela demande.

Quand ce temps se disperse entre plusieurs personnes, la gestion en interne coûte plus qu’il n’y paraît.

Mettre en place un MDM en interne

Ces étapes demandent surtout du temps et de la régularité. Chaque arrivée, chaque départ et chaque nouvelle version d’Apple appellent ensuite un suivi.

Confier son MDM à un prestataire

Un MDM demande une veille constante : nouvelles versions de macOS et d’iOS, évolutions d’Apple Business, certificats à renouveler. Un prestataire en fait son métier, et l’entreprise ne dépend plus de la disponibilité d’une personne.

Cinq points distinguent les prestataires :

1. Une expertise Apple démontrée
   Un prestataire généraliste gère souvent les Mac comme des PC. Demandez un cas client proche du vôtre : nombre d’appareils, sites, ce qui a changé. macOS, iOS et Apple Business demandent une connaissance propre.
2. Une surveillance qui anticipe les incidents
   Un disque presque plein, une mise à jour bloquée ou un chiffrement désactivé se repèrent avant de gêner un collaborateur. Demandez si la flotte est surveillée en continu, ou si le prestataire intervient seulement quand quelqu’un appelle.
3. Des réglages qui s’appliquent d’eux-mêmes
   Les mises à jour de macOS et des applications, les règles de sécurité et les réglages de performance doivent se déployer automatiquement sur chaque appareil. Le collaborateur n’a pas à lancer les mises à jour lui-même, et tous les postes restent configurés de la même façon.
4. Le Mac intégré à l’ensemble du système informatique
   Dans la plupart des PME, les Mac côtoient des PC, Microsoft 365 et un réseau partagé. Un prestataire qui gère l’ensemble applique les mêmes règles de sécurité à tous les postes et relie les Mac aux comptes Microsoft de l’entreprise.
5. La reprise du parc et la propriété des appareils
   Demandez comment les appareils déjà en service passeront sous gestion, et si les collaborateurs pourront continuer à travailler pendant la reprise. Le compte Apple Business et les appareils doivent rester au nom de votre entreprise.

Le prix dépend du périmètre : nombre d’appareils, support des collaborateurs, licences du MDM comprises ou non. Notre article sur l’externalisation de la gestion informatique détaille ce qu’un prestataire prend en charge au-delà du MDM.

Avepto : MDM Apple et gestion de flotte pour les PME romandes

Avepto déploie et gère le MDM des flottes Apple de PME romandes, de l’audit au renouvellement du matériel.

Notre accompagnement couvre tout le cycle de vie de la flotte :

Pour faire le point sur votre flotte, découvrez notre accompagnement pour la gestion de parc Apple en entreprise. Dites-nous combien d’appareils vous utilisez : nous vous répondons par écrit, sous un jour ouvré.