El MDM de Apple no es un producto que Apple venda. Es un protocolo de gestión integrado en iOS, iPadOS y macOS desde 2010. Su solución MDM habla ese protocolo y, con él, inscribe dispositivos, instala apps, aplica políticas y bloquea equipos perdidos sin que nadie toque el hardware.
Lo que podrá hacer después se decide antes de lo que suele pensarse: en el método de inscripción. Lo demás es configuración.
Cómo funciona el protocolo y por qué le importa
No hay agente que desplegar, ni servicio en segundo plano consumiendo batería, ni forma de saltarse el sandbox. Cuando su servidor lanza un comando, el servicio de notificaciones push de Apple (APNs) despierta al dispositivo. Es entonces el dispositivo el que contacta con el servidor y recoge la orden.
Esa dirección importa. El servidor no empuja nada: el dispositivo pregunta. Un iPhone sin conexión no ejecuta nada, y una orden de borrado para un equipo perdido se queda en cola hasta que el terminal vuelve a tener red. Si su plan de seguridad dice que un dispositivo perdido se borra de forma inmediata, está describiendo un deseo, no un mecanismo. Escriba mejor: en cuanto el dispositivo vuelva a conectarse.
Tres métodos de inscripción, tres niveles de control
El método de inscripción determina qué comandos puede enviar su servidor. Cambiarlo después obliga a restaurar el dispositivo de fábrica, es decir, a que el usuario lo entregue durante medio día.
Automated Device Enrollment: la vía para equipos de empresa
Los dispositivos comprados a Apple o a un distribuidor autorizado aparecen solos en su Apple Business Manager. Usted los asigna a su servidor MDM y, al primer encendido, el terminal se inscribe durante el asistente de configuración sin que el usuario haga nada.
La ventaja real no es el tiempo ahorrado, sino el estado que se obtiene: los equipos inscritos así quedan supervisados y la inscripción puede bloquearse para que sobreviva a un restablecimiento. Solo entonces son posibles la instalación silenciosa de apps, el bloqueo de AirDrop, la prohibición de copias de seguridad en iCloud personal o una VPN siempre activa. Para iPhone, iPad y Mac de empresa no hay ningún motivo sensato para elegir otra vía. Cómo queda esto en el día a día lo detalla nuestra página de inscripción zero-touch.
Inscripción por perfil: la vía para el parque antiguo
Los equipos que ya tenía y que nunca pasaron por Apple Business Manager se incorporan con un perfil de inscripción. El usuario abre una dirección, descarga el perfil y confirma la instalación en Ajustes.
Estos dispositivos no quedan supervisados. Podrá repartir configuraciones de Wi-Fi y correo, exigir código de acceso y distribuir apps, pero el usuario puede eliminar el perfil cuando quiera y llevarse la gestión con él. Sirve como transición, no como destino.
User Enrollment: el modo de Apple para dispositivos personales
Para BYOD, Apple diseñó la User Enrollment. Crea en el iPhone un espacio gestionado aparte, ligado a un Apple Account gestionado, y limita al servidor de forma estricta: no recibe ni número de serie ni UDID, solo un identificador de inscripción, y no puede borrar el dispositivo entero.
Conviene una precisión que los artículos en inglés suelen difuminar. Apple no contempla un perfil que gestione únicamente la capa de aplicaciones, y no toda inscripción de iOS vendida como BYOD es una User Enrollment: muchos proveedores usan una inscripción de dispositivo corriente, sin supervisión. Ahí la separación entre lo laboral y lo personal no la impone la plataforma, sino lo que configure el administrador, y esa inscripción sí puede fijar un código de acceso y restricciones para todo el terminal. La diferencia no es un matiz: ante su delegado de protección de datos está describiendo un tratamiento distinto. Pregunte a su proveedor cuál de los dos modos aplica y pida la respuesta por escrito.
Lo que sí se sostiene en ambos casos: en un iPhone personal la consola solo reporta las apps que distribuye la empresa, no las que ha instalado el usuario. Y un iPhone personal no se puede localizar, porque Apple condiciona el comando de ubicación a la supervisión. No es una opción desactivada, es una función ausente. Ese matiz es el que conviene llevar por escrito a la negociación con la representación de los trabajadores.
Las políticas que aportan algo de verdad
La seguridad es lo que empuja a la mayoría a empezar con la gestión de dispositivos iOS. Cuatro bloques concentran casi todo el beneficio.
Código de acceso. Longitud mínima, bloqueo automático y número máximo de intentos fallidos. Seis dígitos más Face ID es el punto razonable para casi cualquier empresa. Los códigos alfanuméricos de doce caracteres quedan muy bien en el documento y acaban apuntados en un papel pegado a la pantalla.
Cifrado y flujos de datos. Los equipos de Apple ya cifran su almacenamiento de serie. Lo interesante son las reglas de Managed Open In: los documentos gestionados no pasan a apps no gestionadas, AirDrop cuenta como destino no gestionado y las apps gestionadas no guardan nada en el iCloud personal. Esa frontera es la que cuenta cuando algo sale mal, más que el estado del cifrado.
Red. Perfiles de Wi-Fi con certificado, para que nadie conozca ni comparta la contraseña corporativa. VPN por aplicación, para que solo el tráfico de las apps de trabajo pase por su pasarela. Las dos cosas ahorran discusiones posteriores sobre el tráfico personal.
Pérdida y robo. El modo perdido muestra un mensaje y un número de contacto. El bloqueo de activación a nombre de su organización hace que un terminal robado no sirva a nadie ni siquiera tras restaurarlo. Ambos exigen supervisión, así que dependen otra vez del método de inscripción.
Repartir apps sin implicar al usuario
Las licencias se compran en Apple Business Manager, en Apps y Libros, y se asignan a dispositivos en lugar de a personas. En un equipo supervisado la app se instala en silencio, sin Apple Account del usuario y sin ningún diálogo. Cuando alguien deja la empresa, la licencia vuelve a su bolsa.
La parte infravalorada es la configuración gestionada de apps. Muchas aplicaciones corporativas aceptan valores predefinidos: dirección del servidor, tenant, método de autenticación, funciones habilitadas. Con eso, la app arranca ya configurada la primera vez que se abre. En un parque de dispositivos de 400 terminales, eso son 400 incidencias de soporte que nunca llegan a existir.
Para las apps internas se añade un catálogo privado donde cada empleado ve solo lo aprobado para su puesto. Appaloosa reparte desde una misma consola apps de iOS, Android y web, por grupo o por centro de trabajo, dentro de su gestión de aplicaciones.
Un Mac no es un iPad grande
macOS habla el mismo protocolo, pero en el uso real se comporta como un portátil con Windows: administrador local, herramientas instaladas por el propio usuario y años de estado acumulado.
- FileVault puede exigirse en la inscripción, con la clave de recuperación custodiada en la consola. En un parque de portátiles es la medida con mejor relación entre esfuerzo y efecto: convierte un equipo perdido en un trámite en lugar de una brecha notificable.
- Los bootstrap tokens permiten que el usuario apruebe cambios del sistema sin que el equipo de TI tenga que sentarse delante del Mac.
- Las extensiones del sistema se aprueban por adelantado. En los Mac con Apple Silicon es la única vía practicable para las herramientas de VPN y de seguridad.
- Las actualizaciones admiten fecha límite. Pasado el plazo, el Mac instala por su cuenta. Ahí desaparecen las semanas en las que los usuarios van posponiendo parches críticos.
Decida pronto si sus Mac son equipos corporativos cerrados o puestos de desarrollo. Una línea base común para ambos casos o es demasiado laxa para servir de algo, o tan estricta que el equipo de desarrollo la rodea. Lo que se puede aplicar punto por punto está en nuestra página de gestión de macOS.
Qué cambió con iOS 17 e iOS 18
La gestión declarativa (DDM) le dio la vuelta a la lógica. Antes el servidor comprobaba y corregía. Ahora el servidor declara el estado deseado, y es el dispositivo el que lo mantiene y avisa cuando se desvía. Menos idas y venidas por APNs y políticas que se aplican antes.
iOS 17 sumó la atestación de dispositivo gestionado, con la que el Secure Enclave demuestra criptográficamente la identidad del terminal, y Return to Service: borrar un equipo en remoto y que se vuelva a inscribir solo. Para el móvil que devuelve por mensajería alguien que se marcha, eso ahorra el paso por la oficina. Desde iOS 18, DDM cubre también las actualizaciones del sistema, con versión objetivo obligatoria y fecha límite. Antes solo se podían aplazar.
El certificado APNs, la caída más evitable
Toda conexión MDM con dispositivos de Apple depende de un certificado APNs. Se genera una solicitud de firma en el portal del MDM, se sube al Apple Push Certificates Portal, se descarga el certificado firmado y se carga de vuelta. Diez minutos.
Dos reglas deciden el resto del año. La primera: el certificado dura doce meses y, si caduca, todos los dispositivos inscritos pierden la conexión y hay que volver a inscribirlos a mano. Ponga un aviso treinta días antes. La segunda: renuévelo siempre con la misma cuenta de Apple que lo creó, y use para ello una dirección funcional del tipo mdm@suempresa.es. Crear uno nuevo en lugar de renovar tiene el mismo efecto que dejarlo caducar. Es, con diferencia, la incidencia más frecuente en entornos Apple, y es cien por cien evitable.
Lo que hay que cerrar antes del despliegue en España
El artículo 87 de la LOPDGDD reconoce el derecho a la intimidad en el uso de dispositivos digitales en el trabajo y obliga a fijar criterios de uso, con participación de la representación de los trabajadores. Si el terminal es personal, ese documento no es papeleo: es la condición para que el despliegue sea defendible.
Anótelo en paralelo al piloto técnico, no después. Qué categorías de datos muestra la consola, quién accede, cuánto se conserva el registro, qué borra exactamente un comando de borrado y qué funciones simplemente no existen en modo BYOD. Ese último punto desactiva la mayor parte de las objeciones cuando se puede demostrar. Los mismos datos le harán falta para el registro de actividades de tratamiento del artículo 30 del RGPD, y las guías del INCIBE sobre movilidad corporativa sirven de referencia razonable para redactar la política de uso. Si además vende al sector público, cuente con que el ENS aparecerá como criterio en el pliego.
Por dónde empezar
- Dar de alta Apple Business Manager, verificar el dominio y conectar el servidor MDM.
- Fijar la estrategia de inscripción: ADE para los equipos nuevos de empresa, User Enrollment para los personales, perfil para el parque antiguo.
- Construir los perfiles de configuración: código, Wi-Fi, correo y VPN, y después las restricciones.
- Comprar licencias, asignarlas por grupos y probar la instalación silenciosa en un grupo reducido.
- Pilotar con 10 o 20 dispositivos de perfiles distintos y solo entonces extender.
Los equipos de Apple están hechos para gestionarse. El esfuerzo no está en la técnica, sino en dos decisiones: el método de inscripción correcto y una política de uso que describa lo que usted ve de verdad. Las dos conviene tomarlas antes de pedir los primeros cien iPhone.