Mon entreprise surveille-t-elle mon Mac ? Vérifier la gestion (MDM) sans s'inquiéter

Un MDM (gestion des appareils mobiles) est l'outil standard avec lequel une entreprise administre ses ordinateurs : Jamf, Microsoft Intune, Kandji, Mosyle, Addigy… Il s'appuie sur le système de gestion prévu par Apple. Il sert à installer les logiciels, imposer un mot de passe, activer le chiffrement, configurer le Wi-Fi ou le VPN, et retrouver ou effacer un Mac perdu.

Un logiciel de surveillance d'activité, parfois appelé mouchard ou logiciel espion (ActivTrak, Teramind, Hubstaff, Time Doctor…), est autre chose : il mesure le temps passé dans chaque application, peut faire des captures d'écran ou enregistrer les frappes au clavier. C'est un logiciel à part, que le MDM peut cependant installer. Il faut donc vérifier les deux.

D'après la documentation d'Apple, un service de gestion peut interroger le Mac pour connaître son numéro de série, sa version de macOS, l'état du chiffrement FileVault et la liste des applications installées. Il peut installer des apps à distance, imposer des réglages et des restrictions, déclencher des mises à jour, verrouiller ou effacer le Mac.

Le protocole de gestion d'Apple ne prévoit en revanche aucune commande pour lire vos messages, vos mails, vos photos ou votre historique de navigation, ni pour regarder votre écran. Un MDM peut toutefois installer un certificat et un proxy qui permettent à l'entreprise d'inspecter le trafic web passant par ses serveurs, ou installer un logiciel de surveillance. C'est pourquoi la vérification ci-dessous regarde aussi les applications et les autorisations.

Sans rien installer :

1. 01Réglages Système › Général › Gestion de l'appareil (ou Confidentialité et sécurité › Profils, selon la version de macOS). S'il n'y a ni rubrique ni profil, aucun profil de gestion n'est installé.
2. 02Si la ligne « Ce Mac est supervisé et géré par [nom de l'organisation] » apparaît, le Mac appartient en principe à cette organisation et elle l'administre.
3. 03Réglages Système › Confidentialité et sécurité › Enregistrement de l'écran et de l'audio, puis Accessibilité, puis Surveillance de l'entrée : une application qui capture l'écran ou les frappes doit normalement figurer dans l'une de ces listes.
4. 04Réglages Système › Général › Ouverture et extensions › Autoriser en arrière-plan : cherchez les noms d'éditeurs de gestion ou de surveillance.
5. 05Dans le dossier Applications, cherchez Portail d'entreprise (Intune), Self Service (Jamf, Kandji, Mosyle) ou une app au nom de l'entreprise.

La première commande indique si le Mac est inscrit dans un MDM. « Enrolled via DEP: Yes » signifie qu'il a été inscrit automatiquement à sa mise en service, ce qui veut dire que son numéro de série est rattaché au compte Apple Business Manager d'une organisation. « MDM enrollment: Yes » signifie qu'il est géré. La seconde liste les profils de configuration (ajoutez sudo devant pour voir aussi les profils installés pour tout l'ordinateur). Les deux sont en lecture seule.

profiles status -type enrollment; profiles list

Les agents de gestion et les logiciels de surveillance installent presque toujours un service lancé au démarrage. Cette commande cherche les noms les plus courants dans les applications et les services de démarrage, sans rien modifier. Une ligne trouvée n'est pas une preuve d'espionnage : un agent Jamf ou Intune est normal sur un Mac d'entreprise. Une liste vide n'est pas une garantie absolue non plus, car un logiciel conçu pour se cacher peut porter un autre nom.

ls /Applications /Library/LaunchDaemons /Library/LaunchAgents | grep -i -E 'jamf|intune|company portal|kandji|mosyle|addigy|activtrak|teramind|hubstaff|time ?doctor'

Suisse : l'article 26 de l'ordonnance 3 relative à la loi sur le travail (OLT 3) interdit les systèmes destinés à surveiller le comportement des travailleurs à leur poste. Le commentaire du SECO cite expressément les logiciels espions, les traceurs d'activité et l'enregistrement des frappes au clavier parmi les systèmes concernés. Une surveillance n'est admise que pour un autre motif (sécurité, contrôle du rendement), si elle est proportionnée et annoncée aux employés. Le Préposé fédéral à la protection des données (PFPDT) rappelle que la loi sur la protection des données (nLPD) et l'article 328b du Code des obligations s'appliquent en plus.

France : l'article L1121-1 du Code du travail exige que toute restriction aux libertés des salariés soit justifiée et proportionnée, et l'article L1222-4 interdit de collecter une information sur un salarié par un dispositif qui ne lui a pas été présenté au préalable. La CNIL considère l'enregistrement des frappes au clavier comme illicite, sauf impératif de sécurité exceptionnel, et le partage permanent de l'écran comme particulièrement invasif. Les représentants du personnel doivent être informés et consultés.

Belgique : la convention collective de travail n° 81 encadre le contrôle des communications électroniques. L'Autorité de protection des données rappelle qu'il doit poursuivre un but précis, rester limité au strict nécessaire et être annoncé aux travailleurs.

Ces règles sont générales. Pour votre situation, adressez-vous aux autorités citées dans les sources, à l'inspection du travail ou à un représentant du personnel : ce guide n'est pas un conseil juridique.

Vous avez acheté un Mac d'occasion et un écran « Gestion à distance » apparaît à la configuration, ou une notification vous demande sans cesse d'inscrire le Mac dans une organisation ? Son numéro de série est encore enregistré dans le compte Apple Business Manager de son ancien propriétaire, qui ne l'a pas libéré. Le réinstaller ne suffit pas, car ce rattachement est enregistré chez Apple.

Selon la procédure d'Apple, l'organisation retire (révoque) le Mac de son compte Apple Business Manager, puis le Mac est effacé et réinstallé. Contactez le vendeur avec le numéro de série ; s'il ne peut pas obtenir la libération, demandez l'annulation de la vente. Évitez les logiciels payants qui promettent de « supprimer le MDM » : ils ne retirent pas ce rattachement, et l'écran revient souvent à la réinstallation suivante.

Sur un Mac fourni par votre employeur :

1. 01Ne retirez pas un profil et ne désinstallez pas un agent : c'est souvent bloqué, cela peut couper votre accès au mail ou au VPN, et l'employeur pourrait vous le reprocher.
2. 02Demandez au service informatique quels outils sont installés et ce qu'ils collectent. La réponse figure souvent dans la charte informatique ou le règlement d'entreprise.
3. 03Gardez vos usages personnels (banque, santé, messagerie privée) sur un appareil personnel.
4. 04Si vous pensez qu'un outil de surveillance a été installé sans information, parlez-en à un représentant du personnel ou à l'autorité de votre pays avant toute autre démarche.

Le bilan gratuit lit l'inscription MDM et les profils installés (et, si vous l'autorisez en mode administrateur, les profils système avec le nom de l'organisation qui les a posés). Il liste aussi les services lancés au démarrage avec leur signature, ce qui fait apparaître les agents de gestion et les logiciels de surveillance installés de façon classique. Il ne modifie rien et ne retire rien.

Il ne promet pas de détecter tout logiciel espion : un outil conçu pour se cacher, ou une surveillance faite sur le réseau de l'entreprise, ne laisse pas forcément de trace lisible sur le Mac. Il vous dit en revanche, en clair, qui gère votre Mac et ce qui s'y lance tout seul.

• Apple, Déploiement des plateformes Apple : À propos de la supervision d'appareils Apple
• Apple, Déploiement des plateformes Apple : Choisir un service de gestion des appareils
• Apple, Déploiement des plateformes Apple : Méthodes d'inscription pour les appareils Apple
• Apple, Déploiement des plateformes Apple : Inscription automatisée d'appareils et gestion des appareils
• Apple, Guide de sécurité personnelle : Passer en revue et supprimer des profils de configuration
• Apple Business Manager : Révoquer des appareils
• SECO : Commentaire de l'OLT 3, art. 26 Surveillance des travailleurs (2023)
• PFPDT : Moyens techniques de surveillance sur le lieu de travail
• CNIL : Le contrôle de l'utilisation d'internet et de la messagerie électronique
• CNIL : Les questions-réponses de la CNIL sur le télétravail
• Légifrance : Code du travail, article L1121-1
• Code du travail numérique : article L1222-4
• Autorité de protection des données (Belgique) : Surveillance électronique sur Internet et email