Choisir et installer un MDM : Intune, Jamf, Iru comparés

Dernière mise à jour : 2026-10-15

Pour choisir un MDM, partez de la composition de votre parc, pas des listes de fonctionnalités. Une entreprise majoritairement Windows et déjà sous Microsoft 365 se tourne vers Intune ; une entreprise Apple first choisit Jamf ou Kandji (devenu Iru) ; un grand parc multi-OS regarde Workspace ONE. Viennent ensuite l'enrôlement zero-touch, la sécurité, les preuves de conformité et le temps d'administration. Si vous ne voulez pas piloter l'outil vous-même, un MDM pour les entreprises opéré en service géré est l'autre option.

Verdict rapide

• Choisissez Microsoft Intune si la majorité de vos postes tournent sous Windows et que vous payez déjà Microsoft 365 Business Premium, E3 ou E5.

• Choisissez Jamf si votre parc est surtout composé de Mac, iPhone et iPad et que vous avez un administrateur qui veut un contrôle Apple poussé.

• Choisissez Kandji (Iru) si vous êtes Apple first, avec une petite équipe IT, et voulez des automatisations prêtes à l'emploi.

• Choisissez Workspace ONE si vous gérez des milliers d'appareils sur de nombreux OS, y compris des terminaux durcis ou partagés.

Fonctionnalités et modèles de prix vérifiés sur les sites des éditeurs en octobre 2026.

Comment choisir un MDM concrètement ?

Choisir un MDM revient à répondre à six questions : quels systèmes d'exploitation gérer, comment les appareils sont enrôlés, quelles règles de sécurité imposer, quel annuaire d'identité vous utilisez, quelles preuves attendent vos auditeurs et qui pilotera l'outil au quotidien. Traitées dans cet ordre, ces questions réduisent généralement la liste à un ou deux éditeurs.

Ce sont les critères que les responsables IT soulèvent le plus souvent lorsqu'ils comparent des solutions de MDM pour une entreprise de 50 à 500 salariés. Chacun s'applique aux quatre éditeurs du tableau. Pour les bénéfices du MDM eux-mêmes, voyez notre article sur les avantages du MDM pour les PME.

Quels systèmes d'exploitation compte votre parc ?

Commencez par un inventaire : nombre de Mac, de PC Windows, d'iPhone, de smartphones Android, de tablettes et de postes Linux, et leur évolution sur deux ans. Un MDM monoplateforme suffit pour un parc homogène. Dès que deux OS cohabitent à grande échelle, il faut soit un outil multiplateforme, soit deux outils en parallèle.

Deux outils, c'est un choix assumé par certaines scale-ups. Yousign, client de Fleet, utilise Jamf pour ses appareils Apple et Microsoft Intune pour ses PC : chaque OS est géré par l'outil conçu pour lui, au prix de deux consoles et de deux jeux de règles. Son responsable IT le résume ainsi dans le témoignage Yousign : inutile de chercher l'outil qui aura toutes les fonctionnalités.

L'outil gère-t-il l'enrôlement zero-touch ?

L'enrôlement zero-touch signifie qu'un appareil neuf s'inscrit seul dans le MDM dès sa première connexion à Internet, sans intervention de l'IT. Sur Apple, il repose sur l'Automated Device Enrollment (ADE) via Apple Business Manager ; sur Windows, sur Windows Autopilot ; sur Android, sur Android Enterprise zero-touch. Les quatre éditeurs gèrent l'ADE Apple ; seuls Intune et Workspace ONE couvrent Autopilot nativement.

C'est le zero-touch qui rend l'onboarding à distance tenable. Sans lui, chaque ordinateur doit être configuré à la main avant expédition, ou le salarié doit installer lui-même un profil. Nos guides pas à pas détaillent le zero-touch sur Apple et le zero-touch Windows avec Entra ID.

Quelles règles de sécurité pouvez-vous imposer ?

Tout MDM sérieux couvre le socle : chiffrement du disque (FileVault, BitLocker), règles de mot de passe et de verrouillage, mises à jour imposées, déploiement d'applications, verrouillage et effacement à distance. Les écarts se jouent sur la rapidité de prise en charge des nouvelles versions d'OS, les référentiels de sécurité prêts à l'emploi (benchmarks CIS intégrés aux modèles de Kandji) et la gestion déclarative des appareils (DDM), qu'Apple impose progressivement pour piloter les mises à jour.

Vérifiez aussi ce qui se passe quand un appareil n'est plus conforme. Intune peut bloquer l'accès à Microsoft 365 via l'accès conditionnel ; les outils Apple first passent par une intégration avec votre fournisseur d'identité. Le guide d'hygiène informatique de l'ANSSI reste une bonne base pour fixer vos règles minimales.

L'outil s'intègre-t-il à votre annuaire d'identité ?

Le MDM doit suivre votre fournisseur d'identité, pas l'inverse. Intune repose sur Microsoft Entra ID, ce qui en fait le choix naturel pour une entreprise qui se connecte déjà avec des comptes Microsoft. Jamf, Kandji et Workspace ONE s'intègrent à Entra ID, Okta et Google Workspace : ils fonctionnent partout, mais chaque intégration est une configuration de plus à maintenir.

Fournit-il des preuves d'audit pour l'ISO 27001 ou le SOC 2 ?

L'ISO 27001:2022 contient une mesure dédiée aux terminaux utilisateurs (annexe A 8.1), et les auditeurs SOC 2 demandent comment les ordinateurs sont chiffrés, mis à jour et effacés. Le MDM est la source de ces preuves : rapport de conformité par appareil, état du chiffrement, version d'OS, journal d'offboarding. Avant de signer, demandez à chaque éditeur un export de conformité type et vérifiez qu'il répond aux questions de votre auditeur, pas seulement au tableau de bord de l'éditeur.

Qui va le piloter, et combien de temps cela prendra-t-il ?

Le frein est rarement l'outil, c'est le temps d'administration. Intune et Workspace ONE sont puissants mais supposent un administrateur formé, surtout pour gérer des Mac sous Intune. Jamf valorise une expertise Apple. Kandji (Iru) est pensé pour les petites équipes IT avec des automatisations prêtes à l'emploi. Quand l'IT repose sur un office manager ou un fondateur, la vraie question est de savoir s'il faut administrer un MDM soi-même ou passer par un MDM géré.

Comptez aussi la maintenance annuelle absente des grilles tarifaires : renouvellement du certificat push Apple et du jeton ADE, mise à jour des règles après chaque version majeure d'OS, revue des appareils non conformes.

Intune vs Jamf : lequel pour un parc mixte Mac et Windows ?

Intune vs Jamf est la comparaison la plus fréquente dans les parcs mixtes. Intune couvre Windows, macOS, le mobile et Linux dans une seule console et il est souvent déjà inclus dans votre licence Microsoft 365. Jamf ne couvre que l'univers Apple (plus Android via Jamf for Mobile), mais va plus loin sur macOS et iOS. Le point de bascule est généralement la part de Mac et la présence d'un administrateur Apple.

Jamf ou Intune n'est pas toujours un choix exclusif. Comme chez Yousign, beaucoup de scale-ups utilisent Intune pour Windows et Jamf ou Kandji pour Apple, reliés au même fournisseur d'identité.

Kandji (Iru) et Workspace ONE : dans quels cas les retenir ?

Kandji, renommé Iru fin 2025, vise les entreprises Apple first avec de petites équipes IT : modèles de sécurité prêts à l'emploi, mise à jour automatique des applications (Auto Apps) et déploiement Apple zero-touch, désormais étendus à Windows et Android. Workspace ONE, édité par Omnissa depuis la cession de l'activité end-user computing de VMware, vise les grandes organisations qui gèrent de nombreux OS, des terminaux durcis et des appareils partagés.

En résumé : Kandji (Iru) concurrence Jamf sur les parcs Apple first et l'emporte sur la simplicité ; Workspace ONE concurrence Intune sur les grands parcs mixtes et l'emporte sur l'étendue des plateformes. Pour une entreprise de 50 à 500 salariés sans terminaux de terrain, Workspace ONE est souvent surdimensionné.

Comment nous avons comparé

Les quatre outils ont été comparés sur les six critères ci-dessus, pour un scénario de référence : une entreprise de 100 à 300 salariés, en hybride ou à distance, avec un mélange de Mac, de PC Windows et de smartphones professionnels, dans plusieurs pays. Les sources sont les pages produit, tarifs et documentation des éditeurs, consultées en octobre 2026. Jamf, Kandji (Iru) et Omnissa ne publiant pas leurs prix, ceux-ci ne sont pas comparés en chiffres.

Que faut-il préparer avant d'installer un MDM ?

Avant d'installer un MDM, préparez quatre prérequis : un compte Apple Business Manager (qui exige un numéro D-U-N-S) pour le zero-touch Apple, un tenant Microsoft Entra ID pour Windows Autopilot et Intune, un certificat Apple Push Notification service (APNs) pour que le MDM communique avec les appareils Apple, et une liaison Google Play d'entreprise pour Android Enterprise. L'absence de l'un d'eux est la première cause de déploiement bloqué.

• Apple Business Manager : gratuit, mais la validation du compte peut prendre plusieurs jours. Demandez à votre revendeur ou loueur d'y rattacher vos appareils pour que les nouveaux Mac et iPhone y apparaissent automatiquement.

• Microsoft Entra ID : obligatoire pour Intune ; l'inscription automatique des postes Windows nécessite Entra ID P1, inclus dans Microsoft 365 Business Premium. Pour Autopilot, les appareils doivent être déclarés par le revendeur ou via leur empreinte matérielle (hardware hash).

• Certificat APNs et jeton ADE : tous deux sont valables un an. Utilisez un compte Apple partagé de l'entreprise, jamais un compte personnel, sous peine de perdre l'accès au départ de l'administrateur.

• Android Enterprise : reliez le MDM à un compte Google Play d'entreprise avant d'enrôler les smartphones Android.

Côté droit du travail, le MDM est un outil qui peut permettre de contrôler l'activité des salariés : le CSE doit être informé et consulté avant sa mise en place (article L2312-38 du Code du travail), et les salariés informés des données collectées, comme le rappelle la CNIL dans ses recommandations sur la surveillance des salariés.

Comment installer un MDM étape par étape ?

Installer un MDM se fait en cinq étapes : connecter les prérequis, définir les règles par groupe de salariés, tester sur quelques appareils, enrôler le parc existant, puis basculer les nouveaux appareils en zero-touch. Pour un parc de 100 à 300 appareils, comptez deux à quatre semaines entre la configuration et l'enrôlement complet, l'essentiel du temps passant dans le pilote et l'enrôlement des utilisateurs existants.

1. Connecter le MDM : importez le certificat APNs, reliez Apple Business Manager (jeton ADE), connectez Entra ID ou votre fournisseur d'identité, et liez Android Enterprise si besoin.

2. Définir les règles et les groupes : chiffrement, mot de passe, mises à jour d'OS, profils Wi-Fi et VPN, catalogue d'applications par équipe (tech, sales, finance). Partez d'un référentiel de sécurité plutôt que d'une page blanche.

3. Tester sur 5 à 10 appareils : au moins un appareil par OS et une personne hors IT. Testez l'onboarding, un verrouillage à distance, une installation d'application et une mise à jour d'OS.

4. Enrôler le parc existant : les appareils déjà présents dans Apple Business Manager peuvent être affectés au MDM ; les autres s'enrôlent via un profil installé par l'utilisateur ou une réinitialisation. Fixez une échéance et expliquez ce que l'entreprise voit, ou non, sur l'appareil.

5. Passer au zero-touch pour les nouveaux appareils : chaque nouvel ordinateur est affecté au MDM dans Apple Business Manager ou Autopilot avant expédition, et se configure au premier démarrage.

En cas de changement de MDM, macOS 26 et iOS 26 permettent de réaffecter les appareils à un nouveau MDM depuis Apple Business Manager, avec une date limite, sans les effacer. C'était l'une des principales raisons de rester enfermé dans un outil qu'on ne voulait plus.

Check-list pour choisir et déployer un MDM

Recevez des appareils déjà enrôlés dans votre MDM avec Fleet

Choisir un MDM, c'est la moitié du travail. L'autre moitié, c'est le faire vivre : rattacher chaque nouveau Mac à Apple Business Manager, déclarer les PC Windows pour le zero-touch, renouveler le certificat APNs chaque année et relancer les appareils non conformes avant l'audit ISO 27001. Une équipe IT solide peut tout gérer, mais dans une entreprise en forte croissance chaque étape entre en concurrence avec le reste de la feuille de route.

Fleet prend en charge la gestion des appareils de bout en bout, sur une seule plateforme et dans plus de 150 pays, de la commande au retour du matériel :

• Enrôlé avant livraison : les appareils arrivent préconfigurés via l'enrôlement zero-touch (Apple Business Manager ou votre MDM), et les salariés sont opérationnels dès le premier jour.

• Règles de sécurité appliquées : le MDM Fleet applique vos politiques de sécurité, avec enrôlement, configuration et effacement à distance ; les partenaires sécurité de Fleet sont certifiés ISO 27001 et SOC 2.

• Conformité en un coup d'œil : chaque appareil, sa version d'OS et son statut de conformité suivis dans le Cockpit.

• Livraison en 3 à 5 jours ouvrés : appareils livrés aux salariés dans plus de 150 pays, prêts à l'emploi.

• Support en moins de 2 heures : une équipe support qui répond en moins de 2 heures quand un appareil pose problème.

Fleet équipe déjà plus de 100 000 utilisateurs dans 1 500 entreprises. Réservez une démo et découvrez comment Fleet sécurise et enrôle chaque nouvel ordinateur avant qu'il n'arrive chez votre salarié.

FAQ

Quel est le meilleur MDM pour une PME ?

Il n'existe pas de meilleur MDM dans l'absolu : tout dépend du parc. Une PME majoritairement Windows et déjà sous Microsoft 365 Business Premium tire le plus de valeur d'Intune, inclus dans cette offre. Une PME Apple first sans administrateur dédié trouve souvent Kandji (Iru) ou Jamf Now plus simples à piloter.

Intune est-il gratuit ?

Intune n'est pas gratuit, mais il est inclus dans plusieurs abonnements Microsoft 365 (Business Premium, E3, E5). Une entreprise qui en dispose déjà n'a donc pas de licence supplémentaire à acheter pour la gestion de base. Les fonctions avancées de l'Intune Suite sont progressivement intégrées aux offres E3 et E5 à partir de 2026.

Faut-il Apple Business Manager pour utiliser un MDM ?

Non, mais il est indispensable pour le zero-touch. Sans Apple Business Manager, les appareils Apple ne peuvent être enrôlés que manuellement par l'utilisateur, et le profil MDM peut être retiré plus facilement. Avec lui, les appareils achetés ou loués via un canal agréé s'enrôlent automatiquement au premier démarrage.

Peut-on installer un MDM sur le téléphone personnel d'un salarié ?

Oui, via un enrôlement BYOD (User Enrollment sur Apple, profil professionnel sur Android) qui ne gère qu'un espace professionnel séparé. L'entreprise ne voit ni les photos ni les messages personnels. Le salarié doit être informé des données collectées, et l'installation ne peut pas lui être imposée sur un appareil qui lui appartient sans base claire dans la charte informatique.

Combien de temps faut-il pour déployer un MDM ?

Pour une entreprise de 100 à 300 appareils, prévoyez deux à quatre semaines : quelques jours pour les prérequis comme la validation d'Apple Business Manager, une semaine de pilote, puis une à deux semaines pour enrôler le parc existant. Les nouveaux appareils enrôlés en zero-touch sont prêts dès le premier démarrage.

Conclusion

Le bon MDM est celui qui correspond à votre parc, à votre annuaire d'identité et au temps que votre équipe peut lui consacrer : Intune pour les parcs Windows sous Microsoft 365, Jamf ou Kandji (Iru) pour les parcs Apple first, Workspace ONE pour les grands parcs multi-OS. Préparez les prérequis avant de choisir, testez avant de généraliser et anticipez la maintenance annuelle dès le départ.