Un MDM Android sert à enrôler, configurer et sécuriser des smartphones, des tablettes et des terminaux durcis sans les toucher un par un. Ce guide explique les trois modes de gestion d'Android Enterprise, les méthodes d'enrôlement (zero-touch, code QR, Knox), le déploiement d'applications privées, le mode kiosque, ce que le MDM voit ou ne voit pas sur un téléphone personnel, et ce que tout cela coûte en 2026.
Mis à jour le 23 septembre 2026.
Qu'est-ce qu'un MDM Android et à quoi sert-il ?
Un MDM Android est une console qui pilote des appareils Android à distance grâce aux API de gestion du système, regroupées sous le nom Android Enterprise. L'appareil est enrôlé une fois ; ensuite la console lui pousse règles, applications, Wi-Fi et certificats, et peut le verrouiller ou l'effacer.
Pour un service informatique, cela règle trois problèmes. Le déploiement : 80 tablettes neuves se configurent seules au premier allumage. La sécurité : code obligatoire, chiffrement, effacement à distance quand un téléphone reste dans un train. Le quotidien : l'application métier se met à jour sur toute la flotte en une action.
Depuis Android 10 (2019), l'ancienne méthode « Device Admin » est dépréciée. Tout passe par Android Enterprise, avec les mêmes règles sur Samsung, Pixel, Zebra ou Honeywell.
Android Enterprise : les trois modes de gestion
Le premier choix, avant même l'éditeur, c'est le mode de gestion. Il dépend d'une question : à qui appartient l'appareil, et à quoi sert-il ?
Appareil entièrement géré (fully managed)
L'appareil appartient à l'entreprise et n'a qu'un usage professionnel. Le MDM contrôle tout : applications, réglages, réseau, mises à jour système. C'est le mode des flottes de terrain et des scanners d'entrepôt. Il exige un enrôlement dès la sortie du carton ou après une réinitialisation d'usine.
Profil professionnel (work profile)
L'appareil appartient à l'utilisateur. Android crée un conteneur séparé, reconnaissable à l'icône en forme de mallette, où vivent les applications et données professionnelles. Le MDM administre ce conteneur et rien d'autre. C'est le mode du BYOD : il s'installe en quelques minutes, sans effacer le téléphone.
Appareil d'entreprise avec profil professionnel (COPE)
Le compromis pour un téléphone de fonction que l'on autorise à servir le soir : l'appareil est enrôlé comme géré, avec un profil professionnel ajouté. Depuis Android 11, le MDM contrôle entièrement le profil professionnel et n'applique que quelques règles globales à la partie personnelle (code, chiffrement, réinitialisation).
Et le kiosque (COSU) ?
Ce n'est pas un quatrième mode mais une configuration de l'appareil entièrement géré : l'appareil dédié (Corporate Owned Single Use) est verrouillé sur une ou quelques applications. Un même MDM Android doit gérer tous ces modes dans une seule console, car la plupart des flottes en mélangent au moins deux.
Comment enrôler des appareils Android (zero-touch, code QR, Knox Mobile Enrollment) ?
L'enrôlement décide si votre projet prend deux jours ou deux mois. Trois méthodes principales existent pour les appareils d'entreprise, et le bon MDM les propose toutes.
Zero-touch. Vous achetez les appareils chez un revendeur partenaire du programme zero-touch de Google, il les déclare sur votre compte, vous y associez votre configuration MDM. Au premier allumage, l'appareil s'enrôle seul. Fonctionne sur tout Android 8 ou plus récent acheté via un revendeur agréé (liste sur le site Android Enterprise). Le détail chez Appaloosa : enrôlement zero-touch.
Knox Mobile Enrollment. L'équivalent zero-touch de Samsung, pour les Galaxy achetés chez un revendeur Knox. L'appareil est enregistré dans le portail KME et s'enrôle à la sortie du carton. Utile si votre flotte est majoritairement Samsung, comme dans beaucoup d'entreprises françaises.
Code QR. Pour les appareils déjà en stock ou achetés en grande surface. Après une réinitialisation d'usine, on tape six fois sur l'écran d'accueil, on scanne un code QR généré par la console, et l'appareil s'enrôle en mode entièrement géré. Trois minutes par appareil, une méthode à garder pour les remplacements.
En BYOD, c'est plus simple : l'utilisateur suit un lien et le profil professionnel se crée sans rien effacer. Un détail qui compte : le zero-touch et KME résistent à la réinitialisation ; avec le code QR, il faut re-scanner.
Comment déployer des applications privées (Managed Google Play, APK, store privé) ?
Installer Gmail ou Teams sur 300 appareils est le cas simple. Le vrai sujet, ce sont vos applications internes : l'app de tournée du technicien, l'inventaire du magasin. Trois voies existent.
Managed Google Play. Le Play Store d'entreprise : vous y approuvez des applications publiques et publiez des applications privées, visibles uniquement par votre organisation. Le MDM les installe en silence. Avantages : mises à jour automatiques, signature vérifiée par Google. Inconvénient : la publication passe par la Play Console, avec un délai de revue, et vos APK transitent par Google.
APK poussé par le MDM. Vous téléversez le fichier APK dans la console, et le MDM l'installe sur les appareils gérés sans passer par le Play Store. Pas de revue Google, pas de délai, un contrôle total des versions. La voie naturelle pour une application métier qui change chaque semaine. Notre article sur le déploiement d'un store d'applications Android privé sans Google Play détaille cette méthode.
Store privé. Plutôt que d'imposer, vous proposez : un catalogue aux couleurs de l'entreprise où l'utilisateur choisit les applications approuvées pour son métier. Moins de tickets, une adoption plus naturelle. C'est la brique historique d'Appaloosa, dans la même console que le MDM.
Google restreint depuis 2025 l'installation d'applications de sources inconnues. Pour un administrateur, c'est une bonne nouvelle : le MDM devient la seule voie propre pour installer une application hors du Play Store, sans ouvrir les « sources inconnues ». Voir notre guide sur la gestion des sources inconnues Android en entreprise.
Mode kiosque Android : quand et comment ?
Un terminal de caisse, une borne d'accueil, un scanner en entrepôt : ces appareils ne doivent servir qu'à une chose. Le mode kiosque Android les verrouille sur une ou plusieurs applications, cache la barre de navigation, bloque les réglages et empêche la sortie sans code administrateur.
Le MDM s'appuie sur le lock task mode d'Android Enterprise, réservé aux appareils entièrement gérés : un appareil en profil professionnel ne peut pas passer en kiosque.
Deux variantes. Le kiosque mono-application, où l'appareil démarre dans l'app et n'en sort jamais : borne, terminal de paiement. Le kiosque multi-applications, avec un lanceur restreint à trois ou quatre apps : la tablette de magasin qui sert à l'inventaire, au catalogue et à la caisse.
Ce qu'on oublie : la mise à jour de l'app kiosque sans sortir du mode, et la plage horaire des mises à jour système pour ne pas redémarrer une caisse un samedi à 16 h. Le guide complet du mode kiosque Android et iOS passe en revue ces réglages un par un.
Sécurité : ce qu'un MDM Android impose et ce qu'il ne voit pas
Voici les règles que toute flotte devrait activer le premier jour.
- Code de verrouillage obligatoire, avec une longueur minimale et un délai de verrouillage automatique.
- Chiffrement du stockage, à vérifier sur les modèles durcis d'entrée de gamme.
- Exclusion des appareils rootés.
- Wi-Fi et VPN poussés par la console, avec certificats.
- Verrouillage, localisation (appareils gérés) et effacement à distance.
- Restrictions selon le contexte : caméra, capture d'écran, USB, partage de connexion.
- Filtrage DNS des domaines malveillants ; Appaloosa le propose en bêta sur Android sous le nom Corral.
Et l'autre moitié du sujet, celle que les salariés posent en réunion : que voit le service informatique sur mon téléphone ?
En profil professionnel, la réponse est nette, et garantie par Android plutôt que par l'éditeur. Le MDM voit les applications du profil pro, les comptes qu'il y a créés, l'état de conformité (code, chiffrement, version du système). Il ne voit ni les applications personnelles, ni les photos, ni les SMS, ni la localisation. Il ne peut effacer que le profil pro. Et le salarié peut couper ce profil d'un geste le soir.
Sur un appareil entièrement géré, l'inventaire des applications et la localisation sont visibles. Le contenu des messages et des fichiers ne l'est pas : un MDM n'est pas un logiciel d'interception. Écrivez ces règles dans votre charte informatique ; un MDM déployé sans un mot génère des refus d'enrôlement.
Combien coûte un MDM Android ?
Le marché se facture à l'appareil et au mois. Les offres à tarif public se situent entre 2 € et 6 € HT : 2,12 € HT par licence chez TinyMDM (Android uniquement), 3,49 € HT en Business et 5,49 € HT en Enterprise chez Appaloosa, toutes plateformes comprises. Les éditeurs de grands comptes ne publient pas de prix.
Pour 100 tablettes kiosque et 50 téléphones en profil professionnel, comptez entre 318 € et 524 € HT par mois. Le tarif d'Appaloosa inclut l'onboarding, le support en français et tous les modes Android, sans module supplémentaire pour le kiosque ou les apps privées (grille sur la page tarifs). Surveillez surtout le temps d'administration : trois jours de formation coûtent plus cher qu'un euro d'écart par appareil.
Quel MDM Android choisir : français, Android seul ou multi-OS ?
Trois critères départagent les offres.
La couverture réelle d'Android Enterprise. Zero-touch, KME, code QR, profil professionnel, COPE, kiosque, Managed Google Play et APK privés : demandez une démonstration de chacun.
L'hébergement et le support. Un éditeur français, hébergé en France, hors du champ du CLOUD Act, avec un support qui répond en français, simplifie le dossier RGPD et la vie de l'équipe. Appaloosa est hébergé en France sur une infrastructure qualifiée SecNumCloud. TinyMDM est également un éditeur français.
Android seul ou multi-OS. Si votre flotte est et restera 100 % Android, un spécialiste comme TinyMDM fait le travail à petit prix. Si des iPhone, des iPad ou des PC sont dans la flotte, ce qui arrive dès que les commerciaux ou la direction entrent en jeu, une seule console évite trois contrats. Appaloosa gère iOS, iPadOS, Android, Windows et macOS au même tarif. Notre comparatif Appaloosa vs TinyMDM détaille cette différence point par point.
Le test vaut mieux que la lecture. L'essai Appaloosa dure 14 jours, sans carte bancaire : assez pour enrôler une tablette en kiosque, un téléphone en profil professionnel et pousser une première application privée.
FAQ
Qu'est-ce qu'un MDM Android ?
Un logiciel qui enrôle, configure, sécurise et supervise à distance des appareils Android d'entreprise ou personnels, via les API Android Enterprise. Il sert à déployer des applications, appliquer des règles de sécurité et effacer un appareil perdu.
Quelle est la différence entre profil professionnel et appareil entièrement géré ?
Le profil professionnel crée un conteneur pro sur un appareil personnel ; le MDM ne voit que ce conteneur. Sur l'appareil entièrement géré, le MDM contrôle tout le système, ce qui permet le mode kiosque.
Peut-on enrôler un Android sans réinitialisation d'usine ?
Oui, en profil professionnel : l'utilisateur installe l'application de l'éditeur ou suit un lien, et le conteneur pro se crée sans rien effacer. Pour un appareil entièrement géré ou un kiosque, une réinitialisation d'usine (ou un appareil neuf en zero-touch) est nécessaire.
Le zero-touch fonctionne-t-il avec tous les appareils Android ?
Avec les appareils Android 8 et plus récents achetés chez un revendeur partenaire zero-touch. Pour les Samsung, Knox Mobile Enrollment joue le même rôle. Un appareil acheté en grande surface s'enrôle par code QR.
Un MDM Android peut-il voir mes photos ou mes SMS ?
Non. En profil professionnel, le MDM n'accède qu'aux applications et données du conteneur pro. Sur un appareil entièrement géré, il voit l'inventaire des applications et la localisation, mais pas le contenu des messages ou des fichiers.
Combien coûte un MDM Android par appareil ?
Entre 2 € et 6 € HT par appareil et par mois : 2,12 € chez TinyMDM, 3,49 € à 5,49 € chez Appaloosa. Les éditeurs de grands comptes facturent sur devis.