Pourquoi nous avons choisi Jamf Pro (et rejeté les autres MDM) pour piloter nos infrastructures clients

Sur les solutions MDM évaluées depuis 2017, nous avons retenu Jamf Pro pour piloter les Mac de nos clients PME. Pas un choix sentimental : intégration native avec Apple Business, écosystème Jamf Connect / Jamf Protect qui couvre identité et sécurité endpoint, communauté Jamf Nation active. Intune, Mosyle et Kandji (devenu Iru) ont été écartés pour des raisons précises. Voici nos 5 critères de tri, le détail des éliminations, et les limites de Jamf.

Quand un prospect nous demande « pourquoi Jamf et pas Mosyle, Intune ou Kandji ? », on ne sort pas la plaquette commerciale de Jamf. On déroule la grille de décision construite ces 10 dernières années d’expérience sur le terrain. Cet article la décortique : les 5 critères qui éliminent 80 % des MDM dès le départ, et ce que Jamf fait et ne fait pas.

Pourquoi un MDM est non-négociable au-delà de 5 Mac

Le mythe du « Mac qui se gère tout seul »

Le préjugé persiste : le Mac n’aurait pas besoin de gestion centralisée. Ah bon !? On entend encore « nos collaborateurs sont autonomes, ils gèrent leur poste eux-même ». L’autonomie sans cadre se traduit en pratique par : chacun installe ce qu’il veut, personne ne sait quels postes sont chiffrés, et le jour où un audit débarque (ou pire une cyber-attaque), vous découvrez qu’un tiers du parc tournait avec un mot de passe à 4 chiffres.

Au-delà de 5 à 10 postes, l’absence de MDM coûte bien plus cher que sa licence.

Ce que change l’arrivée d’Apple Business

Apple Business (AB pour les intimes) est le portail gratuit qu’Apple met à disposition des entreprises pour centraliser leur flotte. Il ne remplace pas un MDM, il l’alimente : grâce à lui, chaque Mac acheté est rattaché à votre organisation et déjà inscrit dans votre MDM avant même d’être allumé.

📖 Lexique Mac en entreprise : AB, MDM, FileVault, Zero Touch, DDM, Smart Groups… Si certains termes de cet article vous semblent flous, notre vocabulaire Mac en entreprise les décrypte en language clair.

Sans MDM derrière, AB ne sert à rien. Avec le bon MDM, il déclenche le déploiement Zero Touch (et ça c’est game changer, on y revient plus bas).

Notre méthodologie : les 5 critères qui éliminent 80 % des MDM du marché

Avant de comparer les MDM fonctionnalité par fonctionnalité, on applique une grille de qualification qui dégage 80 % du marché en moins de 5 minutes.

Critère 1 : Profondeur de l’intégration AB (au-delà du marketing)

Tous les MDM disent « intégrés à Apple Business ». La profondeur d’intégration, elle, varie énormément. PreStage Enrollment avancé (écrans d’onboarding personnalisés, applications poussées avant la première session utilisateur, branding entreprise), récupération de FileVault, déclenchement de commandes sans intervention serveur : la palette est large.

Sur Intune, l’inscription automatique fonctionne mais la configuration est limitée aux bases. Conséquence : les politiques de sécurité ne s’appliquent qu’après l’ouverture de la première session. Un délai qui peut atteindre 8 à 24 heures pour FileVault selon les conditions réseau. Pour un parc de 5 Mac, c’est gérable en vrai. Au-delà, c’est pas la même.

Critère 2 : Couverture native de l’environnement Apple complet

Une “PME Apple” ne se limite pas aux Mac. Elle a des iPhone, des iPad, parfois des Apple TV pour les salles de réunion. Un MDM qui gère bien macOS mais traite iOS comme un cousin éloigné est éliminé d’office.

Les MDM transverses (Workspace ONE, Hexnode, Scalefusion) ont une couverture multi-OS certes, mais leur profondeur côté Apple reste souvent moyenne. Les MDM Apple-natifs eux (Jamf, Mosyle, Kandji/Iru, Addigy) couvrent l’écosystème complet, c’est leur job. On préfère de notre côté utiliser un outil dédié, tout comme les grands chefs préfèrent l’usage d’un vrai couteau de cuisine à un couteau suisse pour faire leurs plus grands plats.

Critère 3 : Qualité du partenariat éditeur (Day-Zero Support)

Quand Apple sort macOS Sequoia ou macOS Tahoe, votre MDM doit savoir le gérer le jour même. Pas trois semaines après. Pas avec une version bêta « bientôt disponible ». Le jour J. C’est ce qu’on appelle le Day-Zero Support.

Dans les faits, très peu d’éditeurs le tiennent réellement. Jamf et Apple ont un partenariat technique étroit qui rend ce niveau de support possible. Microsoft suit avec un peu de retard. Les autres s’alignent quand ils peuvent. Pour un infogérant comme nous, ce retard n’est pas négociable : si on déploie macOS Tahoe pour un client le 16 septembre et que notre MDM ne sait pas le gérer avant le 15 octobre, on a un trou opérationnel d’un mois. Et ça, c’est pas possible.

Critère 4 : Communauté et documentation

Un MDM, c’est un outil de travail quotidien. On y passe des heures. La qualité de la communauté autour fait la différence entre une plateforme qu’on apprend à maîtriser et un outil dont on devient l’esclave.

Jamf Nation est, sans concurrence, la commu MDM la plus active du marché (coucou les copains). Forum, scripts partagés, JNUC (conférence annuelle), MacAdmins Slack… Quand un de nos techniciens galère sur un cas de figure complexe, il y a 99 % de chances qu’un confrère ait déjà rencontré le même problème et documenté la solution. Les autres MDM ont des communautés certes, mais on va pas se mentir, aucune n’a cette profondeur.

Critère 5 : Continuité Identité + Sécurité endpoint

Un MDM seul ne suffit pas. Sur un parc Apple en 2026, il faut piloter 3 couches : la gestion des appareils (MDM), l’identité utilisateur (SSO connecté à l’IdP cloud) et la sécurité endpoint (anti-malware, EDR).

Les éditeurs qui couvrent les trois couches en natif sont rares. Jamf propose la suite complète (Jamf Pro + Jamf Connect + Jamf Protect). Mosyle Business intègre une partie. Intune nécessite Microsoft Defender + Entra ID, soit deux briques séparées. Kandji/Iru intègre l’EDR depuis son pivot. La cohérence de la suite réduit les frictions techniques et le risque d’angle mort.

Les MDM que nous avons écartés (et pourquoi)

Pourquoi nous déconseillons Microsoft Intune sur un parc Mac

Intune est l’outil par défaut quand une PME utilise déjà Microsoft 365. Le réflexe est compréhensible : « on l’a déjà, autant l’utiliser ». Sauf que l’utiliser pour gérer des Mac, c’est comme essayer d’administrer un cluster Linux uniquement avec des outils natifs Active Directory (ref de geek, sorry) : on passe son temps à bricoler des connecteurs au lieu de piloter réellement.

Intune se traîne plusieurs limites structurelles sur Mac :

1. Des commandes qui traînent : une politique FileVault peut mettre 8 à 24 heures à s’appliquer. Sur Jamf, c’est quelques secondes après la prochaine check-in.
2. Un PreStage dépouillé : pas d’écrans d’onboarding personnalisés, pas d’apps préinstallées avant la première session, pas de branding entreprise au déballage. Alors oui, on peut contourner, mais… ça reste plus compliqué.
3. Le retard systématique sur le Day-Zero Support des nouveaux macOS. Microsoft n’est pas un partenaire technique Apple au sens où Jamf l’est.
4. On n’aime vraiment pas l’interface. Bon, là, c’est totalement subjectif, les goûts et les couleurs… Mais quelqu’un avait très bien résumé le problème il y a très longtemps… 😉

Pour une PME 100 % Apple, c’est un choix sub-optimal. Pour un parc mixte avec une majorité de PC et quelques Mac, Intune fait le job. Le scénario hybride réaliste : Intune côté Windows, Jamf côté Mac, fédération des identités via Microsoft Entra ID. C’est d’ailleurs ce qu’on déploie chez la plupart de nos (super) clients.

Mosyle Business, excellent produit qui ne colle pas à notre modèle

Mosyle Business est un très bon produit. Très économique, ergonomique, avec une logique de configurations prédéfinies qui amène vite un parc à une baseline sécurité saine. Pour une PME qui a un technicien IT dédié en interne, qui gère un seul parc Apple et qui veut un MDM solide à petit prix, Mosyle est un très bon choix. Sincèrement.

Mais Mosyle n’est pas conçu pour notre modèle.

Quand on gère des dizaines d’instances MDM personnalisées et isolées pour des clients aux contraintes radicalement différentes (une agence créative avec 50 Mac et une stack Adobe, un cabinet d’avocats avec 32 Mac et des exigences RPVA, une PME industrielle avec un parc mixte), il faut une granularité de scripting maximale. Profils de configuration custom, Extension Attributes, scripts shell complexes, intégration API avec nos outils de supervision, Smart Groups dynamiques…

Cette simplicité, qui fait sa force pour l’utilisateur final, devient sa limite pour un infogérant qui pilote 50 environnements clients aux logiques différentes. La profondeur de scripting de Jamf, pour notre activité, on n’y coupe pas.

Comment le pivot de Kandji vers Iru change la donne

Kandji s’était imposé comme une alternative crédible à Jamf : interface moderne, automatisation soignée, intégration API correcte… On l’avait évalué il y a quelques temps.

En octobre 2025, Kandji est devenu Iru et a élargi sa couverture à Windows et Android. Et clairement, le produit n’est plus le même. L’identité Apple-first qui le distinguait s’est diluée. Le minimum d’engagement est passé à 100 appareils. Le tarif est sur devis, ce qui complique la prévisibilité budgétaire pour nos clients PME.

Iru reste un produit solide pour des structures plus grandes (200+ devices) qui veulent unifier MDM, EDR et identité sur une plateforme. Pour nos clients PME entre 10 et 80 Mac, le ticket d’entrée et le pivot stratégique nous ont fait sortir Iru de notre shortlist.

Workspace ONE et les solutions transverses

Workspace ONE (Omnissa/VMware), Hexnode, Scalefusion, NinjaOne : les MDM transverses. Leur promesse séduit les DSI de grandes structures : un seul anneau pour les gouverner tous, avec un outil pour prendre en charge macOS, iOS, Windows, Android, Linux, ChromeOS…

Pour un parc Apple, c’est un compromis fonctionnel. La profondeur d’intégration AB, la rapidité du Day-Zero Support et la richesse du scripting Apple-natif sont systématiquement en retrait. Sur un parc 95 % Apple, on perd ce qui fait la valeur d’un MDM spécialisé.

📞 Pas sûr de votre MDM actuel ? Un audit Apple cartographie votre parc, identifie les angles morts et chiffre l’écart avec une cible saine.

Pourquoi Jamf Pro est devenu notre standard

Le déploiement Zero Touch qui change la vie de l’IT

Un nouveau collaborateur arrive lundi matin. Il déballe son MacBook Néo (bravo d’avoir réussi à en trouver). Il branche l’alimentation. L’écran s’allume sur l’assistant d’inscription. 5 minutes plus tard, le Mac est connecté à Microsoft 365 via Jamf Connect, les apps métier sont installées, FileVault est activé, le Self Service est disponible pour télécharger les outils complémentaires. L’IT n’a touché ni le carton ni la machine. C’est la magie du PreStage Enrollment avancé de Jamf, couplé à Apple Business.

Jamf Connect règle le trou historique de l’identité sur Mac

Sur Mac, l’identité utilisateur a longtemps été un trou. Le mot de passe local et le mot de passe cloud (Microsoft 365, Google Workspace, Okta) divergeaient. Quand l’utilisateur changeait son mot de passe Microsoft, le Mac ne suivait pas. Vous pouvez pas imaginer le nombre de fois où on est intervenu pour ce ce genre de souci…

Jamf Connect règle ce problème. La session Mac est créée depuis l’identité cloud, le mot de passe est synchronisé en temps réel et la MFA peut même fonctionne hors ligne grâce à un cache local sécurisé… et on peut aussi donner à certains utilisateurs les droits administrateur à la demande, pour simplifier la gestion du parc.

Jamf Protect, la sécurité endpoint pensée pour Apple

Jamf Protect est conçu par et pour Apple. Il s’appuie sur les APIs natives macOS (Endpoint Security Framework, Network Extension Framework…) plutôt que sur des hooks système agressifs qui dégradent les performances.

Résultat : on tombe rarement dans les pièges des EDR généralistes (ralentissements à l’ouverture des apps, faux positifs sur les workflows créatifs…). Sur des parcs Adobe (After Effects, Photoshop, Premiere), ça change tout au quotidien. Mais genre vraiment. Pour aller plus loin : la sécurité des endpoint Mac.

Le pari DDM : Jamf en avance sur la conformité autonome

Apple a introduit la gestion déclarative des appareils (DDM) progressivement depuis iOS 15 et macOS 13. Le principe change le paradigme MDM : au lieu d’attendre les commandes du serveur, l’appareil devient autonome. Il connaît les règles de conformité à respecter, il les applique lui-même, et il ne signale au serveur que les changements d’état.

Pour un parc nomade (déplacements, télétravail), c’est radical : les politiques s’appliquent en quasi temps réel, sans attendre la prochaine check-in MDM. Le Mac sait ce qu’il doit faire, il le fait, point.

Jamf Pro a été l’un des premiers MDM à adopter la logique DDM, et ses équipes de R&D contribuent activement à son évolution avec Apple. Les autres MDM rattrapent leur retard. Pour un infogérant qui pilote des collaborateurs nomades, c’est un avantage concret. Pas un argument commercial. Et quand macOS Tahoe est sorti à l’automne 2025, Jamf gérait les nouvelles APIs MDM day one. C’est ce partenariat technique qui rend possible notre offre d’infogérance Apple.

Self Service Plus : pour rendre l’utilisateur toujours plus autonome

Comme nous le disons souvent chez Gete.Net Consulting : « le meilleur ticket est celui qui n’est jamais ouvert ». Et rien que pour ça, on adore le Self Service + proposé par Jamf Pro. Un App Store sur mesure, qui met à disposition des liens vers des ressources sur mesure pour chacun de nos clients, des outils de diagnostic et d’optimisation rapide, la réinstallation des apps en un clic… Le Self Service + rend chacun et chacune autonome avec son Mac, réduisant la frustration et les demandes de support. D’ailleurs, on a trouvé certains de ces outils tellement utiles qu’on les a mis à disposition pour tous sur notre GitHub.

Et combien coûte Jamf Pro pour une PME ?

Jamf Pro se facture à la machine, 12,50 $/mois/Mac en licence directe (minimum 25 devices, engagement annuel). C’est plus cher que Mosyle (entre 5 et 8 $/mois) et plus cher qu’Intune (souvent inclus dans Microsoft 365 Business Premium).

Chez Gete.net Consulting, Jamf Pro, Jamf Connect et Jamf Protect sont inclus dans notre forfait d’infogérance. Pas de surcoût licence, pas de ligne de facturation cachée. Le calcul de TCO ne se fait pas sur la seule licence MDM, mais sur l’ensemble du coût de gestion.

Les limites de Jamf Pro

La courbe d’apprentissage (vraiment)

Jamf Pro est puissant. C’est aussi sa principale critique récurrente sur Capterra : la prise en main demande du temps. Le découpage en Smart Groups, Static Groups, Policies, Configuration Profiles, Patch Management, Self Service et Extension Attributes ne se découvre pas en un week-end.

Pour une PME qui voudrait gérer Jamf en interne avec un technicien polyvalent, c’est une vraie barrière. Les techniciens qui ont basculé d’Intune vers Jamf en interne mettent 3 à 6 mois pour être à l’aise. Une raison pour laquelle l’infogérance externalisée prend tout son sens : on absorbe la complexité, le client garde la simplicité (stylée cette phrase, je la ressortirai, tiens !)

Ce que Jamf ne couvre pas et qu’il faut savoir

Jamf Pro est un MDM Apple, pas un EDR full-spectrum ni un SIEM. Jamf Protect couvre une partie de la sécurité endpoint, mais ne remplace pas une vraie solution XDR sur les environnements à haute exposition… Jamf ne gère pas non plus Windows nativement. Si vous avez un parc hybride, Intune complète l’équation. Et Jamf n’a pas de module RMM (Remote Monitoring & Management) au sens où NinjaOne ou Datto le font : on couple Jamf avec notre outil de supervision Diagnostics Système pour une vraie gestion proactive de votre parc.

La souveraineté des données

Jamf Pro est une solution cloud, hébergée sur AWS. Pour la grande majorité de nos clients PME, ce n’est pas un problème : les données de gestion de parc (inventaire, politiques, logs…) ne sont pas des données sensibles. Et Jamf est conforme RGPD.

Mais pour certaines entreprises (secret professionnel, défense, infrastructures critiques, collectivités…) la souveraineté devient un critère important. Et le sujet n’est pas que géographique : même hébergée en Europe, une donnée confiée à un acteur américain reste atteignable par le droit US (le fameux Cloud Act), un risque que la CNIL elle-même pointe… Dans ce cas, Jamf Pro n’est peut-être pas la meilleure réponse.

Il existe alors des solutions où tout reste hébergé chez vous, sur vos propres serveurs (ce qu’on appelle l’on-premise). C’est (un peu) plus lourd à opérer, (un peu) moins ergonomique, mais ça répond parfaitement à l’enjeu de souveraineté. En tout cas, si c’est un point important pour vous, on sait le traiter.

FAQ :

Peut-on migrer un parc Mac d’Intune vers Jamf sans tout casser ?

Oui. La migration se fait par lots de 10 à 30 postes, en parallèle des deux MDM. Les Mac quittent Intune via une commande de désinscription, puis sont inscrits dans Jamf avec un nouveau profil d’inscription. On laisse FileVault actif, on conserve les comptes utilisateurs. Sur un parc de 50 Mac, comptez 2-3 jours max… sans interruption de service, œuf corse.

Que se passe-t-il si on quitte Jamf un jour ?

Bonne question, et on nous la pose souvent. Apple Business reste indépendant. C’est votre propriété, pas celle de Jamf. Vous gardez la liste de vos appareils, les comptes Apple gérés, et la capacité de basculer vers un autre MDM. La migration inverse (Jamf → Mosyle ou Jamf → Intune) est techniquement possible, beaucoup plus complexe que l’inverse, mais réalisable.

Le bon outil pour vous

On ne va pas se mentir : Jamf Pro impose un coût un peu supérieur. Ce n’est pas l’outil universel qui va sauver vos quelques postes Windows, et ceux pour qui la souveraineté des données est un critère important, ce n’est peut-être pas la meilleure réponse (même si vos données restent hébergées en Europe). Mais pour la très grande majorité des PME qui veulent piloter un parc Apple sans compromis sur la sécurité et l’automatisation, c’est clairement le standard. Et c’est précisément pour ça qu’on en a fait notre cœur de métier, sans jamais oublier que le bon MDM, c’est celui qui colle à votre contexte, pas celui qu’on préfère.

Alors si vous voulez un avis indépendant sur l’outil qui colle à votre contexte : on en discute volontiers.

➔ Programmer un audit MDM (Offert. Sans engagement)