Le MDM Windows gère les ordinateurs portables et fixes via le protocole de gestion intégré à Windows, exactement comme un MDM gère les téléphones. Vous enrôlez la machine une fois, puis vous poussez politiques, applications, chiffrement et mises à jour depuis une console au lieu de toucher au poste. Pour la plupart des équipes IT, la vraie question n'est pas de savoir si Windows peut être géré ainsi, mais s'il faut un outil séparé pour le faire.
Historiquement, la réponse était oui. Les téléphones allaient dans un MDM, les portables dans un contrôleur de domaine ou une suite endpoint, et personne n'avait d'inventaire unique. C'est cette coupure que la gestion unifiée des endpoints supprime : le MDM Windows place les PC dans la même console que les iPhone, les appareils Android et les Mac.
Comment fonctionne concrètement le MDM Windows ?
Windows expose nativement un client de gestion. Quand un portable s'enrôle, il s'enregistre auprès de votre serveur MDM et applique la configuration définie : socle de sécurité, profils Wi-Fi, certificats, installation d'applications, règles de mise à jour. Aucune image à construire, aucun agent à packager, aucun serveur à maintenir.
L'enrôlement se fait de trois façons, et le choix dépend surtout de la manière dont la machine a été achetée :
- Par appareil, par l'utilisateur. Le collaborateur se connecte et le portable s'enrôle seul. C'est le plus rapide à mettre en place, et la voie habituelle pour les machines déjà sur le terrain.
- Par lot, par l'IT. Vous enregistrez les appareils en amont pour qu'ils arrivent déjà rattachés à la bonne configuration.
- Directement à la sortie du carton. Le portable est expédié au collaborateur et se configure au premier démarrage, l'équivalent Windows de ce que fait l'enrôlement zero-touch sur iOS et Android.
Que peut-on imposer sur un poste Windows ?
Le périmètre utile est plus étroit que ce qu'annonce une suite endpoint complète, et plus large que ce qu'on attend d'un MDM.
Chiffrement du disque. BitLocker peut être exigé, activé et vérifié à distance, avec séquestre de la clé de récupération dans la console. C'est le contrôle le plus précieux sur un parc de portables : il fait la différence entre une machine perdue qui devient un incident et une machine perdue qui devient une formalité.
Mots de passe et verrouillage. Longueur minimale, complexité, délai de verrouillage, comportement après échecs répétés.
Mises à jour. Vous décidez quand arrivent les mises à jour de fonctionnalités et de qualité, vous les reportez, vous fixez des échéances et des heures actives pour qu'un redémarrage ne tombe jamais en pleine réunion client.
Applications. Poussez des paquets .msi en silence, ou publiez-les dans un catalogue où le collaborateur se sert. Bloquez l'accès au Microsoft Store si vous voulez un parc fermé.
Actions à distance. Effacer un appareil, et récupérer sa clé BitLocker quand quelqu'un se retrouve verrouillé dehors.
Là où le MDM Windows s'arrête, et pourquoi ce n'est pas grave
Certaines choses qu'un MDM mobile fait sur téléphone n'existent pas sur Windows. La prise en main à distance, le mode kiosque et le filtrage web sont des forces du mobile, pas du portable. Le dire clairement vaut mieux que de laisser croire l'inverse : une équipe qui attend sur un PC le niveau de contrôle d'un téléphone sera déçue, alors qu'une équipe qui veut couvrir enrôlement, chiffrement, mises à jour, applications et mots de passe depuis un seul endroit ne trouvera rien qui manque.
Si vos portables exigent de la distribution logicielle poussée, du scripting à distance et de la télémétrie matérielle, vous cherchez une suite de gestion endpoint complète. S'ils doivent être enrôlés, chiffrés, mis à jour et inventoriés à côté de vos téléphones, le MDM Windows est le chemin le plus court.
Faut-il vraiment un outil séparé pour les portables ?
Faites le compte. La plupart des entreprises de 50 à 500 appareils ont plus de téléphones que de PC, et ces téléphones portent des accès plus sensibles : messagerie, chat, applications internes, parfois un VPN. Pourtant le PC hérite souvent de l'outil coûteux et de l'administrateur dédié, pendant que les téléphones se contentent de ce qui était fourni avec la suite mail.
Gérer les deux dans une console change trois choses en pratique. L'onboarding devient un seul flux au lieu de deux. L'offboarding se termine vraiment, parce que rien n'est oublié dans un second inventaire. Et les questions de conformité reçoivent une seule réponse : vous savez combien d'appareils sont chiffrés, à jour et enrôlés, toutes plateformes confondues, depuis un seul écran.
C'est l'argument pour gérer les appareils d'entreprise au même endroit plutôt qu'avec un outil par système d'exploitation.
À quoi ressemble un déploiement Windows
Commencez par les machines que vous renouvelez déjà. Les nouveaux portables s'enrôlent au premier démarrage : le parc bascule au rythme du renouvellement matériel, sans week-end de migration.
Définissez le socle de sécurité avant d'enrôler quoi que ce soit : BitLocker exigé, politique de mot de passe, échéances de mise à jour. Les appareils arrivent alors conformes au lieu d'être corrigés après coup.
Ajoutez ensuite les applications progressivement. Poussez en silence les deux ou trois dont tout le monde a besoin, et mettez le reste dans un catalogue en self-service. La plupart des équipes sur-conçoivent cette étape et finissent par maintenir des paquets que personne n'installe.
Enfin, tranchez le sort des machines que vous ne pouvez pas enrôler : PC personnels, portables de prestataires, ce poste qui fait tourner un vieil outil de production. Celles-là relèvent d'une politique, pas d'un correctif technique.
Et les PC Windows personnels ?
Un PC appartenant au collaborateur est un problème différent d'un portable d'entreprise, et honnêtement l'enrôlement MDM complet y convient rarement. Vous demandez à quelqu'un de laisser votre console gérer la machine que sa famille utilise aussi.
Deux positions tiennent la route. Soit la machine reste non gérée et vous protégez l'accès à la place, en exigeant un appareil géré pour les applications sensibles et en gardant les données d'entreprise dans des sessions navigateur révocables. Soit vous fournissez un portable d'entreprise à ceux qui en ont réellement besoin. Ce qui ne marche pas, c'est d'enrôler un PC personnel avec le même socle qu'un poste corporate en espérant que personne ne remarque que BitLocker vient d'être activé sur son disque familial.
Sur mobile, ce sujet se règle proprement avec un profil professionnel, et c'est pour cela que le BYOD fonctionne sur téléphone alors qu'il fonctionne mal sur Windows.
Questions fréquentes
Le MDM Windows, est-ce la même chose que les stratégies de groupe ?
Non. Les stratégies de groupe exigent que la machine joigne un contrôleur de domaine, donc le réseau de l'entreprise ou un VPN. Le MDM fonctionne par internet : un portable qui ne repasse jamais au bureau reçoit quand même sa configuration. Beaucoup d'entreprises font tourner les deux pendant une transition, le MDM prenant en charge les nouvelles machines.
Faut-il que le poste soit joint au domaine ?
Non. L'enrôlement MDM est indépendant de la jonction au domaine. C'est justement l'intérêt : un parc réparti entre télétravail et sites clients reste géré sans dépendance réseau.
Peut-on imposer les mises à jour Windows sans gâcher la journée de quelqu'un ?
Oui, et c'est là que le contrôle vaut le coup. Vous fixez une période de report, une échéance et des heures actives. La mise à jour s'installe dans votre fenêtre, le redémarrage évite les heures travaillées, et les machines qui l'ignorent butent sur l'échéance au lieu de dériver pendant des mois.
Que se passe-t-il quand quelqu'un quitte l'entreprise ?
Vous effacez l'appareil à distance, et la clé de récupération BitLocker reste disponible dans la console si la machine doit être récupérée ou réattribuée. L'intérêt de gérer les portables à côté des téléphones, c'est que cela se fait une fois, au même endroit, au lieu d'être suivi dans deux systèmes.
Quelles versions de Windows sont prises en charge ?
Windows 10 et Windows 11, en éditions Pro et Entreprise. Les éditions Famille n'exposent pas le client de gestion, ce qu'il vaut mieux vérifier avant d'acheter des portables dans l'urgence.
Gérer Windows à côté du reste
L'intérêt de mettre Windows dans un MDM, ce ne sont pas les fonctions Windows elles-mêmes. Microsoft les couvre depuis des années. L'intérêt, c'est qu'un portable cesse d'être un cas particulier : il apparaît dans le même inventaire qu'un iPhone, suit la même logique d'attribution, et disparaît de la même checklist de départ.
Appaloosa gère Windows aux côtés d'iOS, Android et macOS depuis une console européenne, hébergée en France sur SecNumCloud. Pour le détail de ce qui est supporté par plateforme, la matrice des fonctionnalités le liste ligne par ligne.