Mises à jour de la gestion des appareils annoncées lors de l’édition 2026 de la WWDC

Configurations de réseau

Les nouvelles configurations de réseau disponibles dans la gestion déclarative des appareils permettent d’appliquer des politiques réseau cohérentes sur les appareils de toutes les principales plateformes. Grâce aux avantages de la gestion déclarative des appareils, les équipes de TI peuvent fournir des informations d’identification comme ressource déclarative à des fins d’authentification au lieu de les inclure dans le même profil. Cela permet aux équipes de TI et aux utilisateurs de renouveler automatiquement et sans effort ces informations d’identification, et de les réutiliser dans différentes configurations de réseau.

Profils de configuration en tant que ressources déclaratives

Actuellement, si un profil ancien est fourni, l’URL doit indiquer le service de gestion des appareils, et l’accès est authentifié à l’aide du certificat d’identité de l’appareil.

Pour assurer une transition en douceur, la gestion déclarative des appareils prend en charge le déploiement de profils anciens en tant que configurations.

Sur les appareils sous iOS 27, iPadOS 27, macOS 27, tvOS 27, visionOS 27 et watchOS 27, les profils anciens peuvent être livrés en tant que ressources déclaratives. Ceci permet une plus grande flexibilité quant à l’endroit où les profils sont hébergés et à la façon dont les appareils s’authentifient pour les récupérer. La gestion déclarative des appareils comporte également une vérification d’intégrité intégrée pour aider à s’assurer que la ressource téléchargée n’est pas modifiée.

Lorsque la configuration est appliquée, l’appareil télécharge le profil à partir de l’URL. Les équipes de TI peuvent procéder à la configuration à l’aide de la nouvelle clé ProfileAssetReference disponible dans les configurations suivantes :

Augmentation des exigences de sécurité réseau

Sur les appareils sous iOS 27, iPadOS 27, macOS 27, tvOS 27, visionOS 27 et watchOS 27, certains processus système imposent des exigences plus strictes en matière de sécurité des réseaux (TLS). Ces nouvelles exigences peuvent entraîner l’échec des connexions si le service de gestion des appareils ne les respecte pas. Les processus concernés sont ceux des activités liées à la gestion des appareils, à l’inscription automatisée des appareils, à l’installation de profils de configuration, à l’installation d’apps et aux mises à jour logicielles. Les services de gestion des appareils doivent prendre en charge au minimum le protocole TLS 1.2 en utilisant des suites de chiffrement et des certificats conformes aux nouvelles exigences de la sécurité de transport des apps (ATS).

Pour en savoir plus sur les processus concernés, les exigences et la façon de vérifier et de diagnostiquer les défaillances des environnements gérés, consultez l’article de l’assistance Apple Préparer votre environnement réseau pour des exigences de sécurité plus strictes.

Pour en savoir plus sur l’ATS et les nouvelles exigences, consultez la rubrique Prévention des connexions réseau non sécurisées dans la documentation Apple Developer (en anglais).

Améliorations apportées aux rapports d’état

Inscription et santé des appareils

La surveillance de l’état d’inscription des appareils est un élément clé de la gestion des appareils. Actuellement, un service de gestion des appareils doit utiliser des requêtes de gestion des appareils mobiles (GAM), qui introduisent une latence et une charge du serveur sans fournir de précision en temps réel.

Sur les appareils sous iOS 27, iPadOS 27, macOS 27, tvOS 27, visionOS 27 et watchOS 27, de nouveaux éléments d’état sont disponibles pour fournir des informations proactives sur un appareil :

• mdm.enrollment-type : Cette information indique le type d’inscription de l’appareil, qui peut être :

  • Supervisé : pour une inscription supervisée

  • Appareil : pour l’inscription d’appareils

  • Utilisateur : pour l’inscription d’utilisateurs

• mdm.is-awaiting-configuration : Cette valeur est renvoyée lorsque l’appareil attend le service de gestion des appareils dans Assistant réglages.

• mdm.is-return-to-service : Cette valeur indique si un appareil est configuré pour la remise en service avec conservation des apps.

• mdm.is-shared-ipad : Cette valeur indique si un iPad est configuré comme iPad partagé.

• mdm.push-magic et mdm.push-token : Ces valeurs fournissent des détails liés aux propriétés du service de notifications Push Apple (APN) nécessaires à la gestion des appareils.

• device.system.health (uniquement pour iPhone et iPad) : Cette valeur permet de mieux comprendre l’état et l’authenticité de composants matériels, comme la bande de base, la caméra, Face ID, Touch ID, la CCP et la bande ultra large.

Mode de confinement

Le mode de confinement est une protection extrême, facultative, conçue pour les quelques rares individus qui, en raison de leur identité ou de leur activité, pourraient être ciblés personnellement par les menaces numériques les plus sophistiquées. Si ces personnes font partie d’une organisation, l’équipe de TI pourrait vouloir s’assurer que le mode de confinement est activé sur leurs appareils et surveiller son état.

Sur les appareils supervisés sous iOS 27, iPadOS 27, macOS 27 et watchOS 27, les services de gestion des appareils peuvent s’abonner à un nouvel élément d’état security.lockdown-mode qui signale de façon proactive l’état du mode de confinement d’un appareil.

Configuration du module de filtre de contenu Web

Le filtrage de contenu est une exigence courante dans les milieux de l’éducation et des affaires. Il permet aux équipes de TI de fournir une expérience de navigation gérée et de bloquer les pages Web indésirables. iOS, iPadOS, macOS et visionOS offrent des cadres d’application qui permettent aux solutions de filtrage de contenu Web de s’intégrer au système d’exploitation pour filtrer le trafic Web.

Sur les appareils sous iOS 27, iPadOS 27, macOS 27 et visionOS 27, les réglages nécessaires peuvent être déployés à l’aide de la configuration com.apple.configuration.webcontent-filter.plugin, qui permet aux organismes de bénéficier des fonctionnalités de gestion déclarative des appareils dans ce domaine de gestion.

Collecte d’historiques AppleCare

La collecte des informations d’historique à partir des appareils pour appuyer un dossier AppleCare est une étape courante et importante pour diagnostiquer un comportement particulier. Pour l’instant, il faut généralement accéder physiquement à l’appareil et obtenir la coopération de l’utilisateur, et le processus est souvent long et fastidieux, en particulier lorsque l’utilisateur est en déplacement ou se trouve dans un autre bâtiment.

Sur les appareils sous iOS 27, iPadOS 27, macOS 27 et tvOS 27, les équipes de TI peuvent lancer (et annuler) la collecte d’historiques à distance sur les appareils supervisés en utilisant deux nouvelles commandes de GAM :

• TriggerEnhancedLogCollection : Cette commande lance une session de collecte d’historiques à distance et nécessite de spécifier un jeton fourni par AppleCare. Après leur création, les historiques sont automatiquement téléversés à sur Apple et joints au ticket AppleCare.

• CancelEnhancedLogCollection : Cette commande met fin à une session active.

Selon l’appareil et son état, l’équipe de TI peut demander un jeton interactif ou non interactif dans le cadre d’un ticket AppleCare pour autoriser la session de collecte d’historiques sur l’appareil. Voici d’autres détails de la session :

• Une session interactive de collecte d’historiques demande le consentement de l’utilisateur. L’utilisateur peut consentir immédiatement à la collecte et au téléversement, choisir de consulter les informations avant de les téléverser ou annuler la collecte d’historiques.

• Lors de l’utilisation de la collecte d’historiques non interactive, l’appareil affiche une notification, puis collecte et téléverse les historiques en arrière-plan.

• Les ordinateurs Mac utilisent toujours la collecte d’historiques interactive. Les iPhone et iPad nécessitent une collecte d’historiques interactive si un compte (par exemple App Store, iCloud, Mail, etc.) est configuré ou si un code est défini sur l’appareil. Les Apple TV et les iPad partagés utilisent toujours la collecte d’historiques non interactive.

De plus, des informations sur la collecte d’historiques sont disponibles dans de nouveaux éléments d’état déclaratifs :

• enhanced-logging.status : Cette valeur indique si la collecte d’historiques a commencé, s’est terminée ou a été annulée, si l’appareil attend le consentement de l’utilisateur et si un téléversement est en cours.

• enhanced-logging.timestamp : Cette valeur signale l’horodatage du dernier changement d’état.

• enhanced-logging.applecare-token : Cette valeur concerne le jeton AppleCare fourni.

Restauration de sauvegarde

Les appareils sous iOS 27, iPadOS 27 et visionOS 27 ne restaurent plus les informations de gestion des appareils à partir d’une sauvegarde. Ceci inclut le profil d’inscription, la configuration de gestion et l’état de supervision. Les appareils affichés dans Apple School Manager ou Apple Business s’inscrivent automatiquement au moyen de l’inscription automatisée des appareils après leur restauration, ce qui fait en sorte qu’ils reçoivent l’état de gestion actuel et non une configuration obsolète provenant de la sauvegarde.

Si une app gérée n’est pas marquée pour être supprimée au moment de la désinscription, ses données sont restaurées. Les services de gestion des appareils peuvent prendre en charge la gestion de ces données en installant l’app gérée correspondante après la restauration.

Améliorations apportées à la remise en service

Voici les améliorations apportées à la fonctionnalité Remise en service.

Nouvelle tentative d’inscription automatisée

Actuellement, quand un appareil reçoit la commande de remise en service, il se réinitialise et tente de s’inscrire à un service spécifique de gestion des appareils. Dans certains cas, par exemple lors de problèmes de réseau transitoires ou d’erreurs du service de gestion des appareils, l’inscription peut échouer, ce qui laisse l’appareil effacé, mais non inscrit.

Sur les iPhone et iPad sous iOS 27 et iPadOS 27, une nouvelle clé ShouldRetryEnrollment dans le dictionnaire ReturnToService de la commande EraseDevice vise à améliorer ces situations. Lorsque cette clé est réglée à TRUE, l’appareil tente automatiquement de s’inscrire de nouveau avec un délai croissant (jusqu’à cinq minutes) si la tentative initiale échoue.

Réglage de la langue et de la région

Sur les iPhone et iPad sous iOS 27 et iPadOS 27, les équipes de TI peuvent définir la langue et la région de l’appareil dans le profil d’inscription automatisée des appareils. Cela offre une flexibilité supplémentaire pendant le processus de remise en service, car les équipes de TI peuvent définir la configuration régionale souhaitée sur l’appareil pendant une réinitialisation. Sinon, le choix sélectionné précédemment est appliqué. La langue et la région peuvent être définies avec deux nouvelles clés dans le profil d’inscription à la gestion des appareils :

• language : définit la langue à utiliser à l’aide du code ISO 639-1 à deux lettres.

• region : définit la région à utiliser à l’aide du code ISO 3166-1 à deux lettres.

Lancement de la remise en service

Sur les iPhone et iPad sous iOS 27 et iPadOS 27 configurés pour la remise en service avec conservation des apps, de nouvelles options sont disponibles pour lancer le processus de remise en service.

Les utilisateurs peuvent soit lancer la remise en service à partir du centre de contrôle ou les équipes de TI peuvent utiliser la clé SharedDeviceConfiguration.TemporarySessionTimeout de la commande Settings pour configurer le lancement automatique de la remise en service après une période d’inactivité définie (en secondes).

Lorsque la remise en service est lancée à partir du centre de contrôle, l’appareil effectue un enregistrement ReturnToService auprès du service de gestion des appareils pour récupérer les renseignements d’inscription nécessaires. Les informations peuvent aussi inclure la nouvelle clé ShouldRetryEnrollment.

Imposition des mises à jour logicielles

Sur les appareils sous iOS 27, iPadOS 27 et visionOS 27, les équipes de TI peuvent imposer les mises à jour logicielles sur un appareil supervisé lorsqu’il reçoit une commande de remise en service erase. Le service de gestion des appareils doit renvoyer une réponse 403 lors de l’inscription, qui inclut des informations sur la version du système d’exploitation requise sur l’appareil. L’appareil effectue alors automatiquement la mise à jour logicielle et procède à la remise en service.

Modification du terme « assistance Wi-Fi »

Sur les appareils sous iOS 27 et iPadOS 27, le terme « assistance Wi-Fi » sera remplacé par « assistance connectivité ». La clé WiFiAssistPolicy de gestion des appareils dans NetworkUsageRules.SIMRulesItem ne changera pas.

Configuration de la mise en cache de contenu

La mise en cache de contenu est un service de macOS qui accélère le téléchargement des logiciels distribués par Apple et des données que les utilisateurs stockent dans iCloud en enregistrant le contenu que les appareils Apple locaux ont déjà téléchargé. Le contenu enregistré est stocké dans un cache de contenu sur un Mac et peut être téléchargé par les autres appareils sans qu’une connexion à Internet ne soit requise.

Sur un Mac supervisé sous macOS 27, les équipes de TI peuvent configurer la mise en cache de contenu à l’aide de la gestion déclarative des appareils. La nouvelle configuration com.apple.configuration.content-cache.settings comporte toutes les clés qui étaient auparavant disponibles dans le profil ancien.

De plus, de nouveaux éléments d’état déclaratifs sont disponibles et envoyés à un service de gestion des appareils abonné :

• content-cache.info : informations générales sur le cache de contenu, comme l’espace de stockage disponible et utilisé, l’état et la pression sur le cache

• content-cache.status : informations plus détaillées sur l’état d’inscription, les adresses IP, l’état rapporté et les erreurs rencontrées

• content-cache.parents : liste et état des caches de contenu parents

• content-cache.peers : liste et état des caches de contenu pairs

Le Mac peut également envoyer régulièrement des informations à un point de terminaison HTTPS arbitraire spécifié dans la clé ManagementStatusTarget, en utilisant l’intervalle de temps défini par la clé ManagementReportingInterval. Cela permet de créer des solutions et des tableaux de bord de surveillance personnalisés, offrant ainsi des informations plus détaillées sur l’utilisation du service de mise en cache de contenu.

Pour sécuriser la connexion au point de terminaison HTTP de réception, ManagementSecurityConfig propose trois options :

• no-cert : Il n’y a aucune validation du certificat TLS du serveur (cela permet aussi d’effectuer des requêtes HTTP claires, par exemple à des fins de test).

• signedByCACert : Le certificat du serveur est validé par rapport à une autorité de certification approuvée par l’appareil.

• specificServerCert : Le certificat de service doit correspondre au certificat de serveur fourni dans la ressource ManagementStatusCertificateReference.

Le cache de contenu envoie l’état actuel du cache sous forme de texte au format JSON à l’aide d’une requête HTTPS POST et inclut un serverGUID, qui peut être utilisé pour attribuer plusieurs requêtes au même serveur.

Pour en savoir plus sur le format, consultez la déclaration permettant de configurer le service de mise en cache de contenu dans la documentation Apple Developer (en anglais).

Nouvelles restrictions de visionOS

Sur les appareils sous visionOS 27, les équipes de TI obtiennent un contrôle supplémentaire sur les Apple Vision Pro supervisés grâce à de nouvelles restrictions :

• allowBluetoothModification : empêche les utilisateurs de modifier les réglages Bluetooth.

• allowChat : limite l’utilisation d’iMessage.

Les équipes de TI peuvent également utiliser allowListedAppBundleIDs et blockedAppBundleIDs, mais elles devraient commencer à passer à la gestion déclarative pour le lancement des apps. Ces deux restrictions sont obsolètes sous visionOS 27.

Gestion de l’intelligence, de Siri et du clavier

Apple modernise la gestion des systèmes intelligents disponibles sur l’appareil en déplaçant les capacités des anciennes entités des restrictions de GAM vers les configurations de gestion déclarative des appareils. Cette migration offre une intention de politique plus claire, une flexibilité accrue quant au moment de l’application des configurations et un chemin simplifié pour localiser les fonctionnalités de gestion. Les réglages suivants sont disponibles grâce à la configuration déclarative moderne :

• Apple Intelligence

• Intelligence externe

• Siri

• Clavier

Réglages d’Apple Intelligence

Sur les appareils supervisés sous iOS 26.4, iPadOS 26.4, macOS 26.4, visionOS 26.4 et les versions ultérieures, les équipes de TI peuvent utiliser la configuration com.apple.configuration.intelligence.settings pour autoriser ou interdire les fonctionnalités d’Apple Intelligence à l’échelle de l’appareil, notamment :

• AllowGenmoji : Genmoji

• AllowImagePlayground : Image Playground

• AllowWritingTools : Outils d’écriture

• AllowImageWand : Baguette graphique (iOS, iPadOS et visionOS)

Outre ces réglages à l’échelle de l’appareil, les équipes de TI peuvent également contrôler ce qui suit :

• les fonctionnalités d’intelligence artificielle propres à Mail, à Notes et à Safari

• le rapport d’Apple Intelligence

• les résultats personnalisés d’écriture à la main (iOS et iPadOS uniquement)

• le résumé d’intelligence visuelle (iOS et iPadOS uniquement)

• le traitement exclusivement sur l’appareil pour la dictée et la traduction (iOS et iPadOS uniquement)

Sur les appareils sous iOS 27, iPadOS 27, macOS 27 et visionOS 27, une nouvelle clé Apps.Calendar.AllowNaturalLanguageEditing dans la configuration com.apple.configuration.intelligence.settings contrôle si un utilisateur peut créer des événements de calendrier en utilisant la saisie en langage naturel lorsque la clé est réglée à FALSE.

Réglages d’intelligence externe

Sur les appareils sous iOS 26.4, iPadOS 26.4, macOS 26.4, visionOS 26.4 et les versions ultérieures, les organisations peuvent gérer les intégrations d’intelligence externe à l’aide de la configuration com.apple.configuration.external-intelligence.settings. Ainsi, les équipes de TI peuvent autoriser ou restreindre les services d’intelligence externe et contrôler l’accès à la connexion à ces services.

Les limitations d’application dans les premières versions préliminaires du système d’exploitation 27.0 sont documentées dans les problèmes connus dans les notes de versions préliminaires correspondantes sur AppleSeed pour les TI.

Réglages Siri

Sur les appareils sous iOS 26.4, iPadOS 26.4, macOS 26.4, visionOS 26.4, watchOS 26.4 et les versions ultérieures, ainsi que sous tvOS 27, les équipes de TI peuvent utiliser la configuration com.apple.configuration.siri.settings pour gérer les éléments suivants :

• autoriser ou refuser Siri globalement (iOS, iPadOS, macOS, tvOS et visionOS)

• contrôler l’accès à Siri lorsque l’appareil est verrouillé (iOS, iPadOS et watchOS)

• autoriser ou refuser le traitement du contenu créé par l’utilisateur de Siri (iOS, iPadOS et watchOS)

• appliquer le filtrage des grossièretés aux réponses de Siri (iOS, iPadOS et macOS)

Réglages du clavier

Sur les appareils supervisés sous iOS 26.4, iPadOS 26.4, macOS 26.4 et les versions ultérieures, les équipes de TI peuvent utiliser la configuration com.apple.configuration.keyboard.settings pour gérer les éléments suivants :

• Dictée

• la recherche de définition

• les suggestions du clavier mathématique

• le texte prédictif (iOS et iPadOS uniquement)

• la saisie continue (iOS et iPadOS uniquement)

• les raccourcis de remplacement de texte (iOS et iPadOS uniquement)

• la correction du texte : correction automatique et vérification orthographique (iOS, iPadOS uniquement)

Gestion du fournisseur de fichiers

Sur un Mac sous macOS 26.4 ou une version ultérieure, les organisations disposent d’un contrôle supplémentaire sur les extensions de fournisseur de fichiers. Elles peuvent définir les volumes auxquels les extensions de fournisseur de fichiers peuvent accéder et la façon dont elles synchronisent les données. Cela prolonge l’option existante permettant de définir la façon dont les extensions de fournisseur de fichiers peuvent synchroniser les données des dossiers Bureau et Documents de l’utilisateur.

Ces fonctionnalités permettent aux organisations qui utilisent des solutions de gestion de fichiers d’entreprise d’exercer un contrôle plus fin tout en maintenant des limites de sécurité autour des volumes de données.

À l’aide de l’entité com.apple.fileproviderd, les équipes de TI peuvent :

• autoriser ou refuser la synchronisation générale des données pour les extensions de fournisseur de fichiers;

  Remarque : Si vous désactivez la synchronisation, celle des données des dossiers Bureau et Documents sera également désactivée.

• définir si les extensions de fournisseur de fichiers peuvent se synchroniser avec des emplacements situés sur un stockage externe chiffré formaté au format APFS;

• limiter individuellement la synchronisation et la synchronisation externe aux extensions de fournisseur de fichiers uniquement dans les apps approuvées.

• choisir les apps dont l’extension de fournisseur de fichiers est activée par défaut.

Assistant migration géré

Sur un Mac sous macOS 26.4 ou une version ultérieure, Assistant migration géré simplifie le transfert de données d’un Mac à un autre lors de l’utilisation d’Assistant réglages, donnant ainsi aux organisations le contrôle sur les données à transférer vers un nouveau Mac, sans compter sur les utilisateurs pour prendre ces décisions.

Assistant migration sélectionne l’option de transfert la plus rapide pour la migration. Les options incluent la connexion Wi‑Fi pair-à-pair, l’infrastructure Wi‑Fi, Ethernet ou Thunderbolt. Assistant migration vérifie aussi régulièrement si une option plus rapide est disponible pendant la migration.

Les équipes de TI peuvent personnaliser et simplifier l’expérience de migration en précisant les valeurs suivantes :

• RequiredPaths : Quels sous-dossiers et fichiers contenus dans le dossier de départ de l’utilisateur doivent être migrés.

• ExcludedPaths : Quels sous-dossiers et fichiers sont exclus.

• ExcludedAccounts : Quels comptes utilisateur ne sont pas proposés pour la migration.

• ShouldMigrateSecurityPrivacySettings : Si les réglages de confidentialité au niveau du système sont migrés.

Pour en savoir plus, consultez la rubrique Assistant migration géré pour macOS.

Suppression de la commande de mise à jour logicielle

Annoncée l’an dernier, l’ancienne gestion des mises à jour logicielles ne fonctionne plus dans les systèmes d’exploitation 27.0. Ceci comprend les éléments suivants :

• les commandes de mise à jour logicielle

• les requêtes de mise à jour logicielle

• les réglages de cadence recommandés

• les restrictions relatives aux mises à jour logicielles, comme les reports et les améliorations à la sécurité en arrière-plan

Les équipes de TI devraient utiliser la gestion déclarative des mises à jour logicielles pour configurer et appliquer les mises à jour sur les appareils en offrant une plus grande transparence aux utilisateurs et plus de contrôle.

Pour en savoir plus, consultez la documentation sur la gestion des appareils dans la documentation Apple Developer (en anglais).