Gestion des appareils Android : Work Profile, COPE et mode kiosque

La gestion des appareils Android (Android device management) consiste à configurer, sécuriser et administrer à distance des smartphones et tablettes Android via une solution MDM connectée au framework Android Enterprise de Google. Les administrateurs IT l'utilisent pour appliquer des politiques de sécurité, distribuer des applications en mode silencieux et inscrire les appareils automatiquement grâce au provisionnement zero-touch.

Android représente environ 72 % du marché mondial des smartphones (StatCounter, T1 2026). Pour les équipes informatiques, cela signifie gérer des flottes de Samsung Galaxy, Google Pixel et terminaux Zebra déployés dans les bureaux, les entrepôts et sur le terrain. Avec Android 16 et ses fonctionnalités Advanced Protection et Identity Check livrées en 2025, la plateforme offre désormais des contrôles de sécurité matériels comparables à iOS en environnement professionnel.

Ce guide couvre les modes d'inscription (fully managed, Work Profile, COPE, kiosque), les politiques de sécurité, la distribution d'applications via Managed Google Play, l'inscription zero-touch, l'intégration Samsung Knox et les dernières nouveautés d'Android 16.

Avantages du MDM Android

Déployer une solution MDM sur votre flotte Android apporte des bénéfices mesurables dans quatre domaines.

Sécurité à grande échelle

L'application centralisée des politiques garantit que chaque appareil respecte le même socle de sécurité : chiffrement activé, verrouillage d'écran requis, version d'OS à jour. Quand un appareil sort de la conformité, le MDM peut automatiquement bloquer l'accès aux ressources de l'entreprise jusqu'à résolution du problème. Cela comble l'écart entre rédiger une politique de sécurité et l'appliquer réellement sur des milliers de terminaux.

Efficacité opérationnelle

Installation silencieuse d'applications, configuration à distance et inscription zero-touch éliminent le travail de configuration manuelle. Une équipe IT qui passait auparavant 20 minutes par appareil peut déployer des centaines de téléphones sans en toucher un seul. Ce temps est réinvesti dans des tâches à plus forte valeur ajoutée.

Productivité des employés

Les utilisateurs reçoivent un appareil entièrement configuré avec toutes les applications requises, les paramètres Wi-Fi et les comptes email prêts dès le premier démarrage. Pas d'assistant de configuration, pas de recherche dans l'app store, pas de tickets support pour des paramètres manquants. Les déploiements Work Profile permettent aux employés de mettre en pause les notifications professionnelles en dehors des heures de travail, ce qui améliore la satisfaction sans compromettre la sécurité.

Réduction des coûts

Moins de tickets support, un provisionnement plus rapide et un suivi automatisé de la conformité réduisent le coût de gestion par appareil. Prolonger la durée de vie des terminaux grâce à une gestion correcte des mises à jour et au diagnostic à distance repousse les cycles de renouvellement du matériel, ce qui diminue encore le coût total de possession.

Comment fonctionne la gestion des appareils Android

Google a conçu Android Enterprise comme le cadre officiel de gestion des appareils Android en environnement professionnel. Il remplace l'ancienne API Device Admin (obsolète depuis Android 10) par une couche de gestion plus sûre et cohérente.

L'architecture est simple : votre serveur MDM communique avec les API EMM de Google. Quand un administrateur pousse une politique ou une application, la commande atteint l'appareil via Google Play Services. L'appareil applique le changement sans nécessiter un agent personnalisé en arrière-plan.

Android Enterprise fonctionne sur tout appareil exécutant Android 6.0 ou ultérieur avec Google Play Services. Pour les appareils Samsung, vous bénéficiez de contrôles supplémentaires via Samsung Knox, qui ajoute des fonctionnalités de sécurité matérielle et un ensemble d'API de gestion plus riche par-dessus Android Enterprise.

Modes d'inscription Android Enterprise

Le mode d'inscription que vous choisissez dépend de qui possède l'appareil et du niveau de contrôle dont vous avez besoin.

Appareil entièrement géré (Fully Managed)

Pour les appareils appartenant à l'entreprise où l'organisation contrôle tout. L'appareil entier est sous gestion MDM. Il n'y a pas de profil personnel. L'IT peut appliquer toute restriction, installer ou supprimer n'importe quelle application et effacer l'appareil à volonté.

Ce mode est idéal pour les appareils partagés (scanners d'entrepôt, tablettes de livraison, bornes kiosque en magasin) et pour les employés qui reçoivent un téléphone professionnel dédié. L'inscription se fait lors de la configuration initiale : l'utilisateur tape six fois sur l'écran d'accueil pour déclencher le scan de QR code, scanne le code d'inscription, et l'appareil se configure automatiquement.

Work Profile sur appareil d'entreprise (COPE)

Introduit avec Android 11, ce mode donne à l'IT le contrôle total de l'appareil tout en créant un Work Profile séparé pour les applications professionnelles. L'utilisateur peut utiliser l'appareil à des fins personnelles (installer des apps personnelles, utiliser son compte Google personnel) mais le Work Profile isole les données de l'entreprise. L'IT peut effacer le Work Profile sans toucher aux données personnelles, ou effacer l'appareil entier si nécessaire.

C'est la meilleure option quand vous fournissez des téléphones d'entreprise mais souhaitez autoriser un usage personnel. Les employés gardent leur flexibilité, l'IT conserve les contrôles de sécurité d'un appareil entièrement géré.

Work Profile sur appareil personnel (BYOD)

Pour les scénarios de type BYOD (bring your own device). Le Work Profile crée un conteneur séparé sur le téléphone personnel de l'employé. Les applications et données professionnelles vivent dans ce conteneur, chiffrées et gérées par l'IT. Les applications et données personnelles restent intactes. L'IT ne peut pas voir les applications personnelles, les photos, l'historique de navigation ou la localisation.

Le Work Profile apparaît comme une section à onglets dans le tiroir d'applications avec un badge porte-documents sur les apps gérées. Les utilisateurs peuvent mettre en pause le Work Profile en dehors des heures de travail, ce qui suspend toutes les notifications et la synchronisation professionnelles.

Appareil dédié (mode kiosque)

Pour les appareils à usage unique : affichage dynamique, terminaux point de vente, scanners d'entrepôt ou équipements de terrain. Le mode kiosque verrouille l'appareil sur une ou quelques applications autorisées. L'utilisateur ne peut pas accéder aux Paramètres, installer des applications ou quitter l'application désignée.

Les appareils dédiés sont inscrits comme entièrement gérés puis verrouillés avec une politique kiosque. Ils fonctionnent généralement sans surveillance et peuvent être partagés entre plusieurs travailleurs sur différents créneaux.

Choisir le bon mode d'inscription

Politiques de sécurité pour les flottes Android

Gérer des appareils Android, c'est avant tout appliquer la sécurité à grande échelle. Voici les politiques que tout déploiement Android devrait inclure.

Mot de passe et verrouillage d'écran

Imposez une complexité minimale de mot de passe (numérique, alphanumérique ou biométrique). Définissez des délais de verrouillage automatique et un nombre maximum de tentatives échouées avant effacement. Pour les déploiements Work Profile, vous pouvez exiger un mot de passe distinct pour le conteneur professionnel, ajoutant une couche de protection supplémentaire pour les données d'entreprise.

Chiffrement

Tous les appareils Android 6.0+ prennent en charge le chiffrement par fichier. Le MDM peut vérifier que le chiffrement est actif et bloquer l'accès aux ressources de l'entreprise sur les appareils non chiffrés. Samsung Knox ajoute un chiffrement matériel pour le conteneur Knox, certifié pour un usage gouvernemental dans plusieurs pays.

Politiques de conformité

Définissez ce qui rend un appareil conforme : version d'OS minimale, chiffrement activé, pas de root, modèle d'appareil approuvé. Les appareils non conformes peuvent être bloqués dans l'accès à la messagerie, au VPN ou aux applications d'entreprise jusqu'à résolution. Cette application automatique remplace les audits manuels et garantit que votre posture de sécurité reste cohérente sur des milliers d'appareils.

Contrôles réseau

Poussez les configurations Wi-Fi avec des certificats d'entreprise. Configurez un VPN permanent pour que tout le trafic professionnel passe par votre réseau. Restreignez le débogage USB et le transfert de fichiers pour empêcher l'exfiltration de données par des connexions physiques.

Réponse en cas de perte d'appareil

Le verrouillage à distance affiche un écran personnalisé avec les coordonnées. L'effacement à distance supprime toutes les données (ou uniquement le Work Profile sur les appareils BYOD). Pour les appareils Samsung Knox, vous pouvez aussi déclencher une sonnerie à volume maximum pour localiser un appareil égaré dans un bureau ou un entrepôt.

Distribution d'applications sur Android

Managed Google Play est le canal officiel pour distribuer des applications sur les appareils Android gérés. Il remplace le besoin de sideloading d'APK ou de maintenir votre propre dépôt d'applications.

Applications publiques

Sélectionnez des applications depuis le Play Store et approuvez-les pour votre organisation. Les applications approuvées apparaissent dans le Work Profile géré. Vous pouvez installer silencieusement les applications requises (sur les appareils entièrement gérés et d'entreprise) ou les rendre disponibles en téléchargement optionnel.

Applications privées

Uploadez vos propres APK sur Managed Google Play comme applications privées. Elles ne sont visibles que par votre organisation. C'est ainsi que la plupart des entreprises distribuent leurs outils internes, applications terrain personnalisées ou applications métier propriétaires.

Pour les organisations qui ont besoin d'un catalogue d'applications unifié sur Android et iOS, Appaloosa fournit un app store d'entreprise qui unifie la distribution dans une interface unique.

Configurations gérées

De nombreuses applications professionnelles supportent les configurations gérées (aussi appelées restrictions d'application). Cela vous permet de pré-configurer les URL de serveur, les paramètres d'authentification et les options de fonctionnalités avant que l'application n'atteigne l'utilisateur. Par exemple, vous pouvez pousser Microsoft Teams avec votre tenant ID pré-rempli, ou configurer une application terrain pour pointer vers le bon endpoint API par région.

Inscription zero-touch

L'inscription zero-touch est l'équivalent Android de l'inscription automatique d'appareils Apple (ADE). Quand vous achetez des appareils auprès d'un partenaire zero-touch (Samsung, Google, Lenovo et la plupart des grands fabricants), les appareils sont enregistrés dans le portail zero-touch. Au premier démarrage, l'appareil s'inscrit automatiquement dans votre serveur MDM sans aucune étape manuelle.

C'est la méthode d'inscription recommandée pour tout déploiement Android d'entreprise. L'IT expédie l'appareil à l'employé, l'employé l'allume, se connecte au Wi-Fi, et l'appareil se configure tout seul avec toutes les politiques, applications et paramètres.

L'inscription zero-touch offre aussi la persistance : si quelqu'un réinitialise l'appareil aux paramètres d'usine, il se réinscrit automatiquement au prochain démarrage. Cela empêche les employés de retirer la gestion et protège contre la réutilisation des appareils volés.

Configurer un MDM Android étape par étape

La mise en place du MDM sur Android suit une séquence prévisible. Voici le détail de chaque phase.

Étape 1 : lier Android Enterprise à votre MDM

Connectez-vous à la console d'administration de votre MDM et accédez à la configuration Android Enterprise. Vous serez invité à vous connecter avec un compte Google pour créer (ou lier) une entreprise Managed Google Play. Cela lie votre MDM aux API de gestion de Google et active Managed Google Play pour votre organisation. Le processus prend environ deux minutes.

Étape 2 : créer votre premier profil de politique

Un profil de politique définit ce qui se passe sur l'appareil une fois inscrit. Commencez avec un profil de base qui couvre :

• Les exigences de mot de passe (complexité, longueur minimale, délai de verrouillage automatique)
• L'application du chiffrement
• La configuration Wi-Fi avec certificats d'entreprise
• Les règles de conformité (version d'OS minimale, niveau de patch de sécurité)

Créez des profils séparés pour chaque mode d'inscription (entièrement géré, Work Profile, dédié) puisque chaque mode supporte un ensemble différent de restrictions.

Étape 3 : configurer le déploiement d'applications

Naviguez vers la section de gestion des applications de votre politique. Ajoutez des applications depuis trois sources possibles :

• Managed Google Play : cherchez des applications publiques, approuvez-les et ajoutez-les à la politique
• Applications privées : uploadez vos propres APK comme applications privées visibles uniquement par votre organisation
• Applications web : créez des raccourcis écran d'accueil vers des applications web

Pour chaque application, choisissez un type d'attribution. Les applications force-install se déploient silencieusement et ne peuvent pas être supprimées par les utilisateurs. Les applications pré-installées se déploient automatiquement mais les utilisateurs peuvent les désinstaller. Les applications requises pour la configuration doivent terminer leur installation avant que l'appareil ne devienne utilisable.

Étape 4 : inscrire votre premier appareil

Pour un test rapide, utilisez l'inscription par QR code : réinitialisez un appareil, tapez six fois sur l'écran d'accueil, scannez le QR code généré par votre MDM, et regardez l'appareil se configurer. Confirmez que vos politiques s'appliquent correctement, que les applications s'installent et que le Wi-Fi se connecte. Puis passez à l'inscription zero-touch pour les déploiements en production.

Étape 5 : passer à l'échelle avec zero-touch

Enregistrez votre configuration MDM dans le portail zero-touch. Quand votre revendeur expédie de nouveaux appareils, ils sont pré-assignés à votre MDM. Chaque appareil s'inscrit automatiquement au premier démarrage sans aucune étape manuelle. C'est l'approche recommandée pour tout déploiement de plus de quelques appareils.

Gérer les appareils Samsung avec Knox

Les appareils Samsung représentent une part significative des flottes Android d'entreprise. Samsung Knox ajoute des capacités au-delà d'Android Enterprise standard :

Knox Platform for Enterprise (KPE). Chiffrement matériel, gestion de certificats et configuration VPN qui vont plus loin que l'Android standard. KPE permet des fonctionnalités comme le double chiffrement DAR (Data at Rest) pour la conformité gouvernementale.

Knox Mobile Enrollment (KME). Le système zero-touch propre à Samsung, qui fonctionne en parallèle du zero-touch Google. Si vos appareils sont achetés via le canal Samsung, KME offre une expérience d'inscription automatique similaire.

Knox E-FOTA. Enterprise Firmware Over The Air vous permet de contrôler quelle version de firmware vos appareils Samsung exécutent. Vous pouvez tester une nouvelle version d'Android sur un groupe pilote avant de l'approuver pour toute la flotte, ce qui évite les mises à jour surprise qui cassent des applications critiques.

Android Enterprise Recommended : choisir les bons appareils

Le programme Android Enterprise Recommended (AER) de Google certifie les appareils qui respectent des standards professionnels spécifiques. Les appareils AER garantissent :

• Des spécifications matérielles minimales pour les charges de travail professionnelles
• Des correctifs de sécurité réguliers dans les 90 jours suivant leur publication
• La prise en charge cohérente de l'inscription zero-touch
• Au moins 3 ans de mises à jour de sécurité

Les Samsung Galaxy séries A et S, les Google Pixel et certains appareils Motorola et Nokia sont couramment certifiés AER. Si vous renouvelez votre flotte, restez sur la liste des appareils AER pour éviter les problèmes de gestion.

Nouveautés d'Android 15 et 16 pour l'entreprise

Android 15 a amélioré significativement l'isolation du Work Profile. Les contrôles de partage de données inter-profils sont devenus plus granulaires : les administrateurs peuvent spécifier exactement quelles applications sont autorisées à partager des données entre profils personnel et professionnel, jusqu'au type de contenu (images, fichiers, texte). Google a aussi étendu les restrictions pour les appareils dédiés, permettant de verrouiller la luminosité, le volume et le délai d'extinction de l'écran par politique.

Android 16, sorti en 2025, a apporté la plus grosse mise à jour entreprise depuis des années. Advanced Protection for enterprise regroupe les fonctionnalités de sécurité les plus robustes de Google (anti-phishing, anti-malware, blocage des appels frauduleux) dans un seul bouton de politique. Identity Check exige une authentification biométrique pour les actions à haut risque comme le changement de code PIN, la modification des passkeys ou l'accès aux paramètres du compte Google, ajoutant une couche matérielle qui empêche les exploits sur appareil volé.

Côté gestion, Android 16 a ajouté le provisionnement eSIM : les administrateurs peuvent récupérer les valeurs EID des appareils via l'Android Management API, ce qui permet des workflows d'inscription eSIM à grande échelle sans toucher l'appareil physique. De nouveaux contrôles réseau permettent de bloquer les réseaux Thread, basculer le contrôleur NFC et forcer les paramètres automatiques d'heure et de fuseau horaire depuis le réseau.

L'inscription zero-touch a aussi gagné la journalisation d'audit : chaque action dans le portail zero-touch est désormais tracée (qui a changé quoi, quand), avec des logs conservés jusqu'à un an et filtrables par date, IMEI ou numéro de série. Un ajout bienvenu pour les équipes conformité qui ont besoin de traçabilité sur le provisionnement des appareils.

Un changement à noter : Google a découplé les mises à jour Google Play System (Mainline) des politiques de mise à jour système Android Enterprise. Les politiques de mise à jour système ne contrôlent plus la livraison des modules Mainline, ce qui signifie que ces correctifs de sécurité critiques se déploient selon le calendrier de Google, indépendamment de vos fenêtres de report configurées.

MDM Android vs MDM iOS : les différences clés

Les équipes IT qui gèrent des flottes mixtes se demandent souvent comment la gestion Android se compare à l'approche d'Apple. Les architectures diffèrent, mais le résultat est similaire.

Inscription. Apple utilise l'inscription automatique (ADE) via Apple Business Manager. Android utilise l'inscription zero-touch via les fabricants d'appareils. Les deux atteignent le même objectif : un provisionnement mains libres des appareils d'entreprise.

Distribution d'applications. Apple route les applications d'entreprise via Apple Business Manager avec des licences VPP. Android utilise Managed Google Play. Les deux supportent l'installation silencieuse sur les appareils entièrement gérés. Appaloosa unifie les deux canaux dans une couche de gestion d'applications unique.

Isolation BYOD. Le Work Profile d'Android crée un conteneur visible et pausable. Apple utilise des applications gérées et des restrictions d'ouverture gérées, moins visibles pour l'utilisateur mais atteignant une séparation de données comparable.

Contrôle des mises à jour. Samsung Knox E-FOTA donne aux administrateurs Android un contrôle au niveau firmware. Apple offre des périodes de report de 90 jours pour les mises à jour majeures. Aucune plateforme ne donne un contrôle total, mais les deux offrent suffisamment pour éviter les mises à jour surprise qui cassent les applications en production.

Diversité des appareils. iOS fonctionne sur une poignée d'appareils fabriqués par Apple. Android fonctionne sur des centaines de modèles. Cela rend la gestion Android plus complexe à tester mais plus flexible en termes d'options matérielles et de gammes de prix.

Gérer Android et iOS ensemble

La plupart des flottes d'entreprise incluent à la fois des appareils Android et iOS. Voici les points clés pour un MDM multiplateforme :

• Politiques séparées, standards cohérents. Android et iOS ont des API et des capacités de gestion différentes. Créez des politiques spécifiques par plateforme mais alignez-les sur les mêmes exigences de sécurité : chiffrement, version d'OS minimale, complexité de mot de passe et actions de conformité.
• Comprendre les différences de plateforme. Le Work Profile d'Android crée un conteneur visible avec un badge porte-documents. Apple utilise des applications gérées et des restrictions d'ouverture moins visibles pour les utilisateurs. Les deux assurent la séparation des données, mais l'expérience utilisateur diffère.
• Distribution d'applications unifiée. Utilisez un MDM qui gère à la fois Managed Google Play et le Volume Purchase Program d'Apple depuis une seule console. La plateforme MAM d'Appaloosa unifie la distribution d'applications sur les deux écosystèmes, réduisant la charge de maintenance de workflows parallèles.
• Tester sur les deux plateformes. Une application qui fonctionne parfaitement sur Android peut se comporter différemment sous le framework d'applications gérées d'Apple, et inversement. Validez toujours vos applications métier critiques sur les deux plateformes avant de déployer en production.

Défis courants de la gestion Android

Fragmentation des appareils

Android fonctionne sur des centaines de modèles d'appareils de dizaines de fabricants. Tous ne supportent pas toutes les fonctionnalités MDM. La solution est de maintenir une liste d'appareils approuvés et de se standardiser sur quelques modèles par cas d'usage. Les appareils Samsung et Google Pixel offrent l'expérience de gestion la plus cohérente car ils reçoivent les correctifs de sécurité rapidement et supportent l'ensemble complet des fonctionnalités Android Enterprise.

Décalages de versions d'OS

Contrairement à iOS, les mises à jour Android dépendent du fabricant. Certains appareils accusent des mois de retard sur les correctifs de sécurité. Imposez un niveau minimal de correctif de sécurité via les politiques de conformité et bloquez les appareils non conformes dans l'accès aux ressources d'entreprise jusqu'à mise à jour.

Adoption BYOD par les utilisateurs

Les employés résistent parfois à installer un Work Profile sur leur téléphone personnel. Une communication claire aide : expliquez que l'IT ne peut pas voir les données personnelles, que le Work Profile peut être mis en pause et que supprimer le Work Profile ne supprime que les données d'entreprise. Une politique de confidentialité transparente va plus loin que n'importe quelle mesure technique.

Démarrer

Si vous mettez en place la gestion des appareils Android pour la première fois :

1. Créez un compte Android Enterprise. Liez le compte Google de votre organisation à votre solution MDM. Cela active Managed Google Play et permet l'inscription entreprise.

2. Choisissez vos modes d'inscription. Entièrement géré pour les appareils d'entreprise, Work Profile pour le BYOD, dédié pour les kiosques et appareils partagés.

3. Enregistrez les appareils pour le zero-touch. Contactez votre revendeur pour ajouter vos appareils au portail zero-touch et les assigner à votre serveur MDM.

4. Définissez les politiques de sécurité. Commencez par le mot de passe, le chiffrement et les exigences de conformité. Ajoutez ensuite les restrictions réseau et applicatives selon vos besoins de sécurité.

5. Approuvez et assignez les applications. Configurez Managed Google Play, approuvez les applications dont vos équipes ont besoin et configurez l'installation silencieuse pour les applications requises.

6. Pilotez et étendez. Testez avec un petit groupe sur différents modèles d'appareils et modes d'inscription. Validez que les politiques s'appliquent correctement avant de déployer sur toute la flotte.

La gestion des appareils Android a dépassé le stade de la simple parité avec iOS. Avec Advanced Protection, Identity Check et le provisionnement eSIM d'Android 16, la plateforme offre une sécurité d'entreprise matérielle qui était auparavant exclusive à Apple. Les Work Profiles, l'inscription zero-touch, Managed Google Play et Samsung Knox donnent aux équipes IT un contrôle total sur les appareils et les données d'entreprise. L'essentiel est de choisir le bon mode d'inscription pour chaque cas d'usage et d'appliquer des politiques de sécurité cohérentes sur toute votre flotte.

Si vous évaluez des solutions MDM pour Android, Appaloosa supporte l'ensemble des fonctionnalités Android Enterprise, y compris le zero-touch, le mode kiosque et la distribution d'applications via une console unifiée.