APNs

Comment ça marche

Le protocole MDM d'Apple fonctionne en mode pull. Le serveur n'ouvre jamais de connexion vers l'appareil. Il met une commande en file d'attente (installer cette app, verrouiller l'écran, lister les profils installés), puis demande à APNs de notifier l'appareil. Celui-ci garde une connexion permanente aux serveurs push d'Apple, reçoit la notification et se présente au MDM en HTTPS pour collecter ce qui l'attend.

Ce canal push exige un certificat. Le fournisseur MDM génère une demande signée, vous la déposez sur l'Apple Push Certificates Portal avec un compte Apple appartenant à votre organisation, et Apple renvoie un certificat valable 365 jours. Le MDM s'en sert pour s'authentifier auprès d'APNs en votre nom. Le trafic push lui-même sort de votre réseau sur le port TCP 5223 vers la plage 17.0.0.0/8 d'Apple, avec le 443 en secours.

Un détail piège beaucoup d'équipes. Le certificat est lié au compte Apple qui l'a créé. Renouvelez-le avec le même compte et les appareils continuent de fonctionner. Créez un certificat neuf depuis un autre compte et chaque appareil devra être réenrôlé.

Pourquoi c'est important pour une flotte

Si APNs est injoignable, votre MDM devient muet. Les commandes s'empilent côté serveur mais rien n'atteint l'appareil. Les deux causes habituelles : un pare-feu qui bloque le port 5223 (fréquent sur les Wi-Fi invités et certains sites industriels) et un certificat expiré que personne n'a renouvelé.

Le cas de l'expiration fait mal. Les appareils déjà enrôlés cessent de répondre aux nouvelles commandes, et la correction consiste à renouveler le certificat sur le portail puis à le recharger dans le MDM. Apple envoie des rappels 30 jours avant, mais ils partent vers la personne qui a créé le certificat, parfois un admin parti depuis deux ans. Utilisez une boîte mail partagée pour ce compte et notez la date dans votre calendrier.

APNs n'est pas la même chose que les notifications des apps. Vos apps métier passent par le même service, mais avec leurs propres certificats, gérés par le développeur et non par le MDM.

Comment Appaloosa le gère

Appaloosa vous guide dans la configuration d'APNs lors de la prise en main : téléchargement de la demande de signature depuis la console, dépôt sur le portail Apple, retour du certificat. La console affiche la date d'expiration et vous prévient à l'avance. Une fois le certificat en place, les commandes envoyées depuis Appaloosa atteignent les appareils en quelques secondes, ce qui rend le verrouillage à distance, l'effacement et les mises à jour d'apps silencieuses praticables sur toute la flotte iOS et iPadOS.