Planifier les stratégies pour iPhone et iPad selon la supervision et le mode de gestion

Aide au choix des stratégies pour appareils iOS/iPadOS, pas un guide de déploiement validé. L’aide de Sophos décrit les réglages, mais ne confirme pas que chacun convient à toutes les versions du système et à tous les modes d’inscription. Aucun tenant, appareil, licence, attribution ou retrait de stratégie n’a été testé ici. Vérifier d’abord l’inventaire des appareils et des stratégies, l’indication de supervision, la version d’iOS/iPadOS et les mentions de disponibilité à côté de chaque réglage dans son propre tenant Sophos Mobile. Une iOS device policy configure les iPhone et les iPad ; cela ne signifie pas que tous ses réglages exigent la supervision ou sont disponibles sur chaque appareil. Sophos : stratégies pour appareils iOS · Sophos : Restrictions

Avant de choisir : mode de gestion et retour arrière

Apple Device Enrollment gère l’appareil entier ; Automated Device Enrollment (ADE) est une méthode d’inscription, et non un autre nom pour la stratégie d’appareil. Un iPhone ou iPad inscrit par ADE est supervisé ; pour les appareils préparés manuellement, vérifier le statut réel de supervision. Apple User Enrollment, destiné aux appareils personnels, n’est pas supervisé ; ne pas confondre la iOS user policy distincte avec les stratégies d’appareil décrites ici. Passer à la supervision n’est pas un simple clic dans une stratégie : la procédure manuelle d’Apple Configurator exige un accès physique et efface les données de l’appareil. Apple : supervision des appareils

Choisir au préalable un appareil de test approuvé, non indispensable et doté de la version système appropriée, d’une sauvegarde vérifiable et d’une procédure documentée de restauration et de réactivation. Consigner les attributions existantes, les moyens d’accès (réseau mobile et autre réseau Wi-Fi), les applications gérées, la messagerie et les comptes, les fonctions Web et iCloud, le code d’accès, les personnes concernées et la modification souhaitée. Ni la coexistence de stratégies ni la réussite de leur transmission ne prouvent leur effet sur l’appareil. Pour chaque réglage prévu, lire dans le tenant les indications relatives à la version du système et au type d’appareil, puis faire approuver un test positif et négatif observable ainsi qu’une procédure de retour arrière ; sans matrice par réglage, éviter toute affirmation générale comme « réservé aux appareils supervisés ». Selon Sophos, si une configuration Password policies est attribuée à un appareil dont le code n’est pas conforme, un délai de 60 minutes commence à courir ; passé ce délai, aucune application ne peut être lancée, pas même une application interne, tant que le code n’a pas été modifié. En particulier, ne pas activer le compteur Number of failed attempts until device wipe sans autorisation distincte : une fois le seuil dépassé, les données et réglages sont effacés ; selon Sophos, un seuil de six tentatives infructueuses ou moins n’entraîne aucun délai préalable. Le retrait d’une stratégie ne restaure pas les données effacées. Sophos : Password policies

Stratégie d’appareil classique : activer selon les besoins

Sécuriser d’abord l’accès et les données

Restrictions et circulation des données : Restrictions couvre l’installation des applications, Safari, iCloud, les comptes, le Wi-Fi, AirDrop, l’appareil photo, l’eSIM et la séparation des documents gérés et non gérés. Dans Filter type > Allowed apps, la liste interdit aussi les applications système qui n’y figurent pas. Tenir compte de com.apple.webapp pour les Web Clips et de com.apple.Sharing.AirDropUI pour la réception AirDrop à partir d’iOS 18, puis vérifier sur l’appareil ; la désactivation de Safari empêche également l’ouverture des Web Clips. La règle relative au presse-papiers ne s’applique pas si les deux restrictions de partage de documents sont désactivées. Selon Sophos, les utilisateurs peuvent désinstaller des applications sur certains appareils iOS même si Allow app removal est désactivé. L’attribution ne prouve donc pas que la protection contre la suppression est effective ; vérifier le comportement réel sur l’appareil de test approuvé pour le périmètre d’appareils prévu. Pour SMCIOS-897, Sophos ne précise ni version du système, ni correctif, ni solution de contournement. Sophos : Known Issues
Accès de secours et données : Force configured Wi-Fi networks peut couper la connectivité, et Allow account modification peut empêcher de modifier les comptes. Selon Sophos, Allow recovery mode from unpaired host permet un retour aux réglages d’usine déclenché par USB sans intervention directe de l’utilisateur. Preserve eSIM on erase ne s’applique pas à l’effacement depuis « Find My ». Ne pas interpréter les réglages de l’ancien My Photo Stream comme la preuve que des photos de ce flux existent encore aujourd’hui. Les détails et les mentions de disponibilité selon l’appareil et la version figurent dans Restrictions ; ils ne permettent pas d’en déduire une matrice de compatibilité complète.

Appareils supervisés : kiosque, filtre et fond d’écran

Kiosque/application unique : selon Sophos, Single app mode est réservé aux appareils supervisés. Sous Select source, choisir une liste d’applications ou un identifiant de bundle manuel, puis l’application cible sous App identifier ; les fonctions tactiles, la rotation, les boutons, le verrouillage automatique et les fonctions d’accessibilité disposent de leurs propres options. Selon Sophos, dans le cas du problème connu SMCIOS-896, une modification du profil Single app mode ne met correctement à jour que les options Disable… ; toutes les autres options ne prennent effet que lors de la première installation du profil. Vérifier donc l’effet réel de chaque modification d’option prévue sur l’appareil de test isolé. Sophos ne précise ni version du système ni version corrective. La suppression et la réinstallation du profil mentionnées dans la source ne constituent pas une simple nouvelle tentative, mais uniquement une modification de récupération à faire approuver séparément, avec une connectivité MDM vérifiée et une procédure de sortie éprouvée. Sophos : Known Issues
- Tester la sortie : effectuer le test uniquement sur un appareil de test isolé, avec une application installée et lançable, des fonctions d’accessibilité opérationnelles, un MDM toujours joignable et une procédure de sortie éprouvée au préalable. Un écran tactile ou un bouton veille/réveil désactivé complique la récupération sur place. Sophos : Single app mode
Filtre des navigateurs : selon Sophos, Web content filter pour Safari et les autres navigateurs est réservé aux appareils supervisés. Plugin, Blocked URLs (tout le reste est autorisé) et Allowed URLs (tout le reste est bloqué) correspondent à des modèles différents. Selon Sophos, Safari ignore le protocole, le chemin et le sous-domaine dans les règles d’URL ; example.com/a ne bloque pas précisément ce chemin.
- Vérifier l’accès avec une liste d’autorisation : avant de l’activer, tester notamment le fournisseur d’identité ainsi que les accès de gestion et d’urgence. La méthode de filtrage distincte pour les applications gérées individuelles sur les appareils non supervisés ne constitue pas une autorisation de filtrer tous les navigateurs. Sophos : Web content filter · Sophos : attribution d’un filtre aux applications
Affichage : Wallpaper est réservé aux appareils supervisés ; Apply to sélectionne l’écran verrouillé et/ou l’écran d’accueil, et Image accepte les fichiers PNG/JPEG jusqu’à 5 Mo. Sophos précise également que les utilisateurs peuvent changer le fond d’écran à tout moment ; ne pas promettre une identité visuelle imposée durablement. Sophos : Wallpaper

Web Clip : vérifier la disponibilité pour chaque cas

Raccourci : ne pas étendre à Web Clip l’exigence de supervision propre à Wallpaper : l’aide Sophos sur Web Clip ne mentionne pas cette exigence. Vérifier la disponibilité selon le mode de gestion, l’appareil et la version du système dans le réglage correspondant de son propre tenant. Définir URL, Can be removed, Full screen et Browser app. Si Can be removed est désactivé, le clip ne peut disparaître qu’après le retrait de la stratégie qui l’a installé. Ne pas oublier com.apple.webapp dans la liste des applications autorisées ; vérifier le navigateur de repli et l’adresse cible. Sophos : Web Clip

Réseau et applications gérées

Réseau mobile/migration : Access Point Name est obsolète ; Sophos recommande Cellular. Une configuration Cellular ne peut pas être installée tant que l’ancienne configuration APN est installée. Ne prévoir APN, Authentication (PAP/CHAP), identifiants et proxy qu’avec les valeurs fournies par l’opérateur. Pour l’ancienne configuration APN sur iPhone et iPad, Sophos indique une limite de 64 caractères pour chacun des champs User name for access point et Password for access point.
- Prévenir les coupures : des valeurs APN incorrectes peuvent interrompre les données mobiles ; Sophos indique que la suppression de la stratégie permet d’annuler les modifications des réglages APN. Avant la migration, assurer un autre accès Wi-Fi et une procédure de restauration ; ne pas promettre une migration sans interruption. Roaming/Hotspot contrôle l’itinérance voix/données et le partage de connexion, mais n’empêche pas les utilisateurs de modifier les réglages d’itinérance ; Allow Personal Hotspot dans Restrictions est une restriction distincte pour les appareils supervisés. Sophos : APN · Sophos : Cellular · Sophos : Roaming/Hotspot
Domaines gérés : Managed domains signale les domaines de messagerie externes et traite les téléchargements provenant de domaines Web définis comme des documents gérés ; la restriction sur leur ouverture dans des applications gérées dépend en outre de la règle Restrictions correspondante. Si un port est indiqué, la correspondance se limite à celui-ci ; sans port, elle porte, selon Sophos, sur les ports par défaut. Il ne s’agit pas d’un filtre Web général.
Utilisation du réseau par les applications gérées : Network usage rules définit les règles de données mobiles et d’itinérance pour les applications gérées ; Add exception > App group remplace la règle générale, avec au plus une exception par groupe d’applications. Ce n’est pas un interrupteur d’itinérance pour l’ensemble de l’appareil. Sophos : Managed domains · Sophos : Network usage rules

Vérifier séparément les comptes et les services

Messagerie : Email account ajoute Exchange Online/Server à Apple Mail, avec des champs pour OAuth, la découverte automatique du serveur et, en option, les certificats ; %_USERNAME_% et %_EMAILADDRESS_% exigent que les informations utilisateur soient correctement renseignées dans Sophos Fusion. IMAP/POP distingue les serveurs entrants et sortants ainsi que leur authentification. Pour les deux, examiner séparément Allow move, Allow recent address syncing et Use in Mail only en tant que décisions relatives à la circulation des données.
Autres comptes : Google account exige que l’utilisateur fournisse ses identifiants ; ne pas prétendre que la connexion se fait sans intervention. CalDAV et CardDAV nécessitent des URL, ports, modes d’authentification et paramètres TLS adaptés au serveur ; les URL d’exemple des principaux ne prouvent pas qu’une connexion fonctionne actuellement.
- Distinguer les champs CalDAV : Account name est le nom affiché sur l’appareil, pas l’utilisateur de connexion ; User name et Password sont les identifiants de connexion. Server contient le nom d’hôte ou l’adresse IP du serveur CalDAV. Le champ distinct Principal URL désigne la ressource de calendrier et ne doit être renseigné que si le serveur CalDAV l’exige. Sophos recommande de cocher SSL/TLS pour sécuriser la connexion selon les capacités du serveur ; avant la mise en œuvre, vérifier les paramètres TLS autorisés et la compatibilité réelle du serveur et de l’appareil.
Impression et connexion : AirPrint ajoute des imprimantes au moyen d’une adresse IP, d’un chemin de ressource, d’un port et, éventuellement, de Force TLS. Selon Sophos, Single sign-on (Kerberos) ne s’applique que jusqu’à iOS/iPadOS 26 inclus ; ce n’est pas une procédure pour la version 27 ou ultérieure. Sophos : Email account · IMAP/POP · Google account · CalDAV · CardDAV · AirPrint · Single sign-on

Stratégie déclarative : Math settings

À ne pas confondre avec les mises à jour du système : selon l’aide Sophos en anglais associée dans le plan des sources, la configuration autonome Math settings d’une declarative policy iOS/iPadOS est disponible uniquement sur les iPhone/iPad supervisés sous iOS/iPadOS 26 ou version ultérieure. En revanche, la page d’aide Sophos en allemand indique 18 ou version ultérieure. Cette contradiction entre versions n’est pas résolue : ne pas considérer le seuil inférieur comme une autorisation et ne pas déployer la fonction sans vérifier la version réelle et les mentions de disponibilité du tenant. La section Calculator comprend Show square root button (racine carrée à la place du signe plus/moins dans l’affichage de base ; si l’option est désactivée, uniquement dans la calculatrice scientifique), Allow unit conversion, Allow Math Notes mode et Allow scientific mode. Sous System figurent Show math solutions in keyboard suggestions et Allow Math Notes in other apps (par exemple Notes). Vérifier chaque option séparément au regard de l’objectif pédagogique ou d’utilisation et de son effet réel sur l’appareil ; la seule vue d’ensemble des stratégies ne prouve ni l’attribution ni l’effet. Math settings ne modifie pas la stratégie de mise à jour du système. La brève référence dans l’article distinct consacré aux mises à jour ne sert qu’à délimiter le sujet, et ne couvre pas ces six contrôles. Sophos : Math settings

Vérifier le pilote et annuler les modifications

Sophos documente Policies > [plateforme de l’appareil] > Create > [type de stratégie] ; dans Edit policy, saisir le nom, la description et, pour iOS/iPadOS, le nom de l’organisation, puis Add configuration > [configuration] > Save. Dans le tenant approuvé, ne choisir que les options effectivement visibles pour iOS device policy ou iOS declarative policy. Sophos décrit l’attribution d’une stratégie classique sous Policies > [plateforme] > [triangle bleu de la stratégie] > Assign > [appareil de test individuel] > Schedule task > Finish. Dans Schedule task, choisir Now ou un moment approuvé (Date) pour les stratégies d’appareil iOS ; selon Sophos, cette page n’apparaît pas pour les stratégies déclaratives. Ne pas sélectionner de groupe d’appareils si un seul appareil pilote a été approuvé. Par ailleurs, sous Devices > [appareil], Sophos présente les onglets Status (état de gestion), Device properties (version du système), Policies (attributions) et Declarative policy (attribution déclarative avec Assign). Documenter ensuite séparément l’identité de la stratégie, l’état de la tâche, le fonctionnement réel et les effets secondaires inattendus. Ces parcours proviennent de l’aide officielle ; ils n’ont pas été vérifiés dans l’interface de ce tenant. Sophos : Create policy · Sophos : Assign a policy · Sophos : Show device page

Préparer le retrait avant l’attribution : utiliser une stratégie pilote distincte, attribuée exclusivement à l’appareil de test approuvé. Avant toute modification ou tout retrait, recenser tous les appareils auxquels la stratégie est attribuée, documenter le périmètre et obtenir l’autorisation de la modifier : une modification d’une stratégie partagée peut aussi toucher d’autres appareils. Pour les iOS device policies visibles, Sophos documente Devices > [appareil] > Policies > Uninstall. Toutefois, les stratégies d’appareil iOS qui contiennent uniquement Roaming/Hotspot et/ou Wallpaper ne figurent pas dans cet onglet ; l’absence d’une entrée ne prouve donc pas l’absence d’attribution. Sophos décrit également Uninstall policy comme un ensemble de tâches et Unassign pour l’ensemble de la stratégie sous Policies > [plateforme] > [menu de la stratégie] ; cette dernière action concerne tous les appareils auxquels elle est attribuée et ne constitue pas un retour arrière limité au pilote. Sophos : Uninstall policy · Sophos : Show device page

Une modification n’est pas un retour arrière limité au pilote : après une modification d’une iOS device policy classique, Sophos demande Policies > [plateforme] > [triangle bleu de la stratégie] > Update devices ; cette tâche vise tous les appareils auxquels cette stratégie est attribuée. Les autres types de stratégies se synchronisent automatiquement lors de la prochaine connexion à Sophos Mobile. Pour une stratégie déclarative, Sophos n’indique aucune procédure « Uninstall » propre à un appareil, à la différence de la stratégie d’appareil iOS classique : les solutions mentionnées sont de mettre à jour la stratégie ou d’en attribuer une autre. Là encore, modifier une stratégie partagée peut toucher d’autres appareils lors de leur prochaine synchronisation. Vérifier au préalable le périmètre des attributions et les autorisations ; observer ensuite sur l’appareil pilote les réglages effectivement appliqués et l’accès, plutôt que de déduire la réussite du retour arrière de l’état de l’attribution ou de la tâche. Sophos : Apply policy changes to devices · Sophos : Uninstall policy

Le retrait de l’attribution ne restaure pas automatiquement les données effacées, les moyens d’accès au réseau perdus ou les blocages déjà survenus. En cas d’écart, arrêter le pilote, recenser les appareils et utilisateurs concernés, utiliser l’accès alternatif approuvé au préalable et ne poursuivre qu’après avoir constaté le fonctionnement de l’appareil. Avant toute validation, il manque une matrice documentée par réglage sur la supervision, la version du système et le mode d’inscription, un test de l’interface et de la licence du tenant concerné, des tests positifs et négatifs autorisés, une procédure sûre de retrait de la stratégie et une restauration vérifiée à partir d’une sauvegarde. La présentation des stratégies macOS concerne les Mac et la coexistence de leurs propres stratégies d’appareil et d’utilisateur ; elle ne prouve pas les exigences de supervision sous iOS.