Ce qu'est Intune, comment il fonctionne, combien il coûte réellement et comment savoir si votre entreprise en a besoin — sans jargon inutile.
Microsoft Intune est une solution cloud de gestion des appareils et des applications, souvent désignée par l'acronyme MDM (Mobile Device Management) ou UEM (Unified Endpoint Management) lorsqu'elle couvre plusieurs types d'appareils à la fois. Concrètement, c'est une console web unique depuis laquelle une entreprise peut voir, configurer, sécuriser et, si besoin, effacer à distance tous les ordinateurs, smartphones et tablettes utilisés par ses salariés.
Intune gère aujourd'hui les principaux environnements du marché : Windows, macOS, iOS/iPadOS et Android, ainsi que Linux et quelques environnements plus spécifiques. Pour une PME, cela signifie qu'un seul outil peut couvrir des PC Windows au bureau, des MacBook chez les équipes créatives et des iPhone ou smartphones Android sur le terrain — sans jongler entre plusieurs consoles différentes.
Le service appartient à la famille Microsoft 365 et s'appuie sur Entra ID (anciennement Azure Active Directory) pour identifier les utilisateurs et les appareils : chaque appareil géré est rattaché à un utilisateur ou à un usage précis, ce qui permet d'appliquer des règles différentes selon le profil (dirigeant, commercial terrain, poste partagé en atelier, etc.) plutôt qu'une configuration unique pour tout le monde.
En 2026, Intune détient environ 37 % du marché des solutions MDM et gère plus de 200 millions d'appareils dans le monde, ce qui en fait la solution la plus répandue dans les entreprises déjà équipées de Microsoft 365 — la situation de la grande majorité des PME françaises. Cette position dominante n'est pas qu'une statistique : elle signifie aussi que la documentation, les intégrations avec d'autres outils et le support technique autour d'Intune sont particulièrement matures comparés à des solutions plus confidentielles.
Dans une PME sans outil de gestion centralisée, chaque poste est configuré manuellement, souvent par la personne qui l'a sorti du carton. Le chiffrement du disque est activé sur certains postes, pas sur d'autres. Les mots de passe suivent des règles différentes selon qui a préparé la machine. Et surtout : en cas de perte ou de vol d'un appareil, il n'existe généralement aucun moyen de savoir ce qu'il contenait, ni de l'effacer à distance.
Ce n'est pas un problème théorique. C'est très souvent un audit client, une clause contractuelle de sécurité, ou un incident (appareil volé, salarié parti sans restituer son matériel) qui révèle l'ampleur du problème — à un moment où il est déjà trop tard pour agir en amont. La question qui se pose alors n'est jamais "aurions-nous dû nous en occuper plus tôt", mais "combien cet incident va-t-il coûter, et pouvions-nous l'éviter".
Intune répond à cela en appliquant automatiquement une politique de sécurité cohérente sur tous les appareils de l'entreprise, sans dépendre de la rigueur individuelle de la personne qui configure chaque poste. Le chiffrement, les mots de passe, les mises à jour et l'effacement à distance deviennent des règles appliquées par défaut, pas des bonnes pratiques qu'il faut espérer que chacun respecte.
Il y a aussi un bénéfice moins visible mais tout aussi réel : le temps gagné par l'équipe (ou la personne) qui gère l'informatique en interne. Configurer un poste manuellement prend facilement une demi-journée entre le déballage, l'installation des logiciels, la configuration des accès et les réglages de sécurité. Avec un déploiement automatisé, ce temps tombe à quelques minutes d'intervention humaine, le reste se faisant seul pendant que l'utilisateur déballe sa machine.
Intune devient particulièrement pertinent dès qu'une PME dépasse une quinzaine de postes, gère plusieurs sites, ou renouvelle régulièrement son matériel — le moment où la configuration manuelle poste par poste cesse d'être tenable.
Six fonctions couvrent l'essentiel des besoins d'une PME, quel que soit le mélange d'appareils utilisé.
Une liste unique et à jour de tous les appareils de l'entreprise, avec leur statut de conformité.
BitLocker (Windows) et FileVault (Mac) activés et vérifiables automatiquement sur chaque appareil.
Un appareil perdu, volé ou en fin de contrat peut être effacé en quelques minutes depuis la console.
Code de verrouillage, version d'OS minimale, antivirus actif — des règles vérifiées en continu, pas seulement à l'installation.
Installation, mise à jour et suppression d'applications à distance, sans intervention physique sur le poste.
Profils réseau, VPN et certificats déployés automatiquement, sans que l'utilisateur ait à les saisir lui-même.
C'est l'environnement le plus abouti dans Intune, sans surprise puisqu'il s'agit d'un outil Microsoft. Le déploiement s'appuie sur Windows Autopilot pour l'enrôlement automatique, et la quasi-totalité des réglages Windows (BitLocker, pare-feu, mises à jour, restrictions applicatives) sont pilotables depuis la console, sans script ni intervention manuelle.
La gestion Mac est native mais s'articule avec un second outil Apple, Apple Business Manager (ABM), pour l'enrôlement automatique des appareils achetés neufs. Intune pilote ensuite FileVault, les profils de configuration et les applications, avec un niveau de contrôle proche de celui obtenu sur Windows. C'est un sujet suffisamment spécifique pour mériter son propre guide, disponible séparément.
Les iPhone et iPad professionnels s'enrôlent également via Apple Business Manager, avec un mode "supervisé" qui donne à l'entreprise un contrôle complet (restrictions, applications imposées, effacement) — adapté aux appareils appartenant à l'entreprise, distincts des téléphones personnels des salariés.
Android Enterprise propose plusieurs modes selon le contexte : appareils entièrement gérés par l'entreprise (flotte dédiée), profil professionnel séparé sur un appareil personnel (BYOD), ou appareils dédiés à un usage unique comme un terminal de caisse ou une tablette de chantier partagée.
Au-delà de la configuration de sécurité, Intune gère aussi le cycle de vie complet des applications utilisées par l'entreprise. Deux logiques coexistent : les applications "obligatoires", installées automatiquement sur tous les appareils concernés sans action de l'utilisateur, et les applications "disponibles", proposées dans un catalogue interne où chacun installe ce dont il a besoin.
Ce mécanisme s'applique aussi bien aux applications grand public (issues du Microsoft Store, de l'App Store ou de Google Play) qu'aux applications métier internes, dites LOB (Line-of-Business) — un logiciel de gestion commerciale développé en interne, par exemple, peut être poussé et mis à jour exactement de la même façon qu'une application du commerce.
Sur les appareils personnels (BYOD), une couche supplémentaire appelée protection des applications (MAM, Mobile Application Management) permet de protéger les données professionnelles à l'intérieur d'une application — en empêchant par exemple un copier-coller entre l'application e-mail professionnelle et une application personnelle — sans gérer l'appareil dans son ensemble.
Un des apports les plus concrets d'Intune pour une PME est sa combinaison avec l'accès conditionnel (Conditional Access) d'Entra ID. Le principe : un utilisateur ne peut accéder à sa messagerie professionnelle, à ses fichiers ou à ses applications métier que si son appareil respecte les règles de conformité définies par l'entreprise — chiffrement activé, verrouillage configuré, système à jour.
Concrètement, cela signifie qu'un appareil non conforme (par exemple un smartphone personnel sans code de verrouillage) se voit automatiquement refuser l'accès aux données de l'entreprise, sans qu'un administrateur ait besoin d'intervenir manuellement à chaque fois. C'est ce mécanisme qui transforme une politique de sécurité écrite sur un document en une règle réellement appliquée au quotidien.
Ce mécanisme s'appelle le déploiement "zero-touch" (via Windows Autopilot pour les PC, ou l'équivalent pour Mac et mobile) — l'idée centrale : l'appareil se configure lui-même, l'utilisateur n'a rien à installer.
Livré directement à l'utilisateur, sans passer par un technicien IT ni un entrepôt.
Au premier démarrage, l'utilisateur se connecte simplement avec ses identifiants professionnels.
L'appareil rejoint Intune tout seul, sans configuration manuelle ni intervention IT.
Politiques de sécurité, applications et chiffrement se déploient automatiquement selon le profil de l'utilisateur.
Ce principe change concrètement l'expérience d'un nouvel arrivant ou d'un renouvellement de poste : plus besoin qu'un technicien prépare chaque machine à l'avance. L'appareil peut être expédié directement au domicile ou au bureau du salarié, et se configure automatiquement dès la première connexion — un gain de temps particulièrement net pour les équipes en télétravail ou réparties sur plusieurs sites.
Techniquement, l'entreprise enregistre au préalable l'identifiant matériel de chaque appareil auprès du service Autopilot (une opération généralement effectuée directement par le revendeur informatique au moment de l'achat), puis crée un ou plusieurs "profils de déploiement" qui définissent ce qui doit se passer au premier démarrage : quel nom donner à l'appareil, quelle page d'accueil afficher pendant l'installation, et surtout quelles applications et politiques appliquer avant même que l'utilisateur ne puisse commencer à travailler.
Dans les faits, la grande majorité des PME françaises accèdent à Intune via Microsoft 365 Business Premium plutôt qu'en licence autonome.
| Formule | Ce qui est inclus | Prix indicatif |
|---|---|---|
| Microsoft 365 Business Premium | Intune Plan 1 + Windows 11 Pro + Defender for Business + Entra ID P1 + suite Office | 20,60 € HT / utilisateur / mois* |
| Intune Plan 1 (licence autonome) | Gestion de base des appareils et des applications | ≈ 8 $ / utilisateur / mois** |
| Intune Plan 2 (en complément du Plan 1) | Fonctions spécialisées : équipements partagés, casques AR/VR, matériel de visioconférence | + ≈ 4 $ / utilisateur / mois** |
| Intune Suite (en complément du Plan 1) | Assistance à distance, gestion des privilèges, analytique avancée, PKI cloud | + ≈ 10 $ / utilisateur / mois** |
* Tarif catalogue Microsoft France 2026, hors TVA, engagement annuel 12 mois. ** Tarifs catalogue internationaux Microsoft, en dollars, donnés à titre de repère pour les licences autonomes — rarement pertinents pour une PME déjà sur Microsoft 365.
Le prix de la licence n'est qu'une partie du coût réel. Concevoir les profils de configuration, tester le déploiement, documenter les politiques et assurer le suivi dans la durée demande du temps — que ce soit en interne ou via un prestataire.
Pour une PME de 20 à 100 postes, un déploiement complet prend généralement de deux à six semaines selon la complexité du parc existant.
Recensement des appareils existants, enregistrement des identifiants matériel des nouveaux appareils auprès d'Autopilot.
Définition des politiques de sécurité, des profils de configuration et des groupes d'applications par métier.
Test sur un petit groupe d'utilisateurs volontaires, ajustements avant la généralisation.
Bascule du reste du parc, site par site ou service par service, sans interruption d'activité.
Couverture complète du parc, procédures documentées pour les futurs arrivants et renouvellements.
Appliquer un modèle de configuration standard sans l'adapter aux métiers de l'entreprise crée plus de frictions que de sécurité réelle.
Déployer directement sur tout le parc sans tester sur un petit groupe expose à des blocages généralisés en cas d'erreur de configuration.
Des utilisateurs surpris par de nouvelles règles (verrouillage, restrictions) sans explication génèrent plus de tickets support qu'un déploiement bien accompagné.
Sans documentation, chaque nouvelle recrue ou renouvellement de poste redevient une exception à traiter au cas par cas.
De nombreuses PME laissent leurs salariés utiliser leur smartphone personnel pour la messagerie professionnelle. Ce cas de figure, dit BYOD (Bring Your Own Device), pose une question légitime : comment sécuriser les données de l'entreprise sans donner à l'employeur un droit de regard sur les photos de vacances ou les messages personnels de l'appareil ?
Intune répond à cette tension par un mode dédié qui ne gère pas l'appareil dans son ensemble, mais uniquement un conteneur logique contenant les applications et données professionnelles. L'entreprise peut effacer ce conteneur à distance (par exemple au départ d'un salarié) sans toucher au reste de l'appareil, et sans jamais avoir accès aux données personnelles.
Intune est un outil de gestion de la configuration et de la conformité des appareils — pas une plateforme de cybersécurité complète, et pas non plus un outil de supervision technique au sens d'un RMM (Remote Monitoring & Management). Il ne surveille pas en continu les performances d'un poste, ne gère pas finement les correctifs applicatifs tiers, et n'offre pas le niveau de contrôle qu'apporte un RMM sur un parc multi-OS hétérogène.
Un antivirus, une protection des e-mails, des sauvegardes régulières, un pare-feu, une formation des équipes contre le phishing et un plan de réponse aux incidents restent nécessaires en complément — Intune sécurise la configuration des appareils, il ne remplace pas une stratégie de cybersécurité dans son ensemble.
Autre point souvent mal compris : Intune ne fait pas de support utilisateur. Si un salarié rencontre un problème avec son poste, Intune donne à l'équipe IT les outils pour diagnostiquer et intervenir à distance, mais quelqu'un doit rester disponible pour traiter la demande — l'outil ne remplace pas une organisation de support.
Si plusieurs de ces situations vous parlent, la mise en place d'Intune a de bonnes chances d'être rentable rapidement.
Vous gérez des appareils Windows, Mac, iOS ou Android — ou plusieurs de ces environnements en même temps.
Vous recrutez ou renouvelez du matériel plusieurs fois par an.
Des clients ou partenaires vous demandent des garanties de sécurité sur vos postes de travail.
Vous n'avez pas de DSI interne dédiée à la configuration manuelle de chaque poste.
Vous avez déjà, ou envisagez, Microsoft 365 Business Premium.
Une partie de vos équipes travaille à distance ou change régulièrement de site.
Le service qui identifie les utilisateurs et les appareils de l'entreprise (anciennement Azure Active Directory).
Le mécanisme qui configure automatiquement un PC Windows neuf dès sa première connexion, sans intervention IT.
Une règle vérifiée en continu (chiffrement, verrouillage, version d'OS) qui détermine si un appareil est autorisé ou non.
Le mécanisme qui bloque l'accès aux données de l'entreprise si l'appareil ne respecte pas les règles de conformité.
La protection des applications et données professionnelles sur un appareil personnel, sans gérer l'appareil entier.
Un mode où Intune et un outil de gestion plus ancien (Configuration Manager) pilotent le même appareil en parallèle, pendant une transition.
Chez Cynera, le déploiement d'Intune s'inscrit dans une gestion de parc informatique complète, pas comme un projet technique isolé. Cela commence toujours par un audit du parc existant pour cartographier les appareils réellement en circulation, avant de concevoir des profils de configuration adaptés aux métiers de l'entreprise plutôt qu'une configuration générique.
L'objectif est que la sécurisation des appareils reste invisible pour les équipes au quotidien : un nouvel arrivant reçoit un poste prêt à l'emploi dès le premier jour, sans configuration manuelle ni délai d'attente.
Cela dépend de la formule. Intune Plan 1 est inclus dans Microsoft 365 Business Premium et dans les licences E3/E5, mais pas dans Business Standard ni Business Basic. Sans ces formules, Intune s'achète séparément, en Plan 1 autonome.
Oui. Intune n'est pas réservé aux grandes entreprises : la plupart des PME y accèdent via Microsoft 365 Business Premium, une formule pensée pour les structures de moins de 300 utilisateurs, avec la même console et les mêmes fonctionnalités qu'un grand groupe.
Oui, Intune gère nativement macOS, iOS/iPadOS et Android en plus de Windows, depuis une seule et même console — c'est justement ce qui en fait un outil pertinent pour les parcs mixtes, très courants en PME.
Non. Intune est un service 100% cloud : aucun serveur à héberger, aucune infrastructure à maintenir en interne. Seule une connexion internet est nécessaire côté appareil.
Cela dépend de la taille du parc et de sa complexité, mais pour une PME de 20 à 100 postes, un déploiement complet prend généralement de deux à six semaines, audit initial et déploiement pilote inclus.
Non. Intune gère la configuration, la conformité et le chiffrement des appareils, mais ne remplace pas un antivirus, un pare-feu, une protection des e-mails ou un plan de réponse aux incidents. Ces briques restent nécessaires en complément.
L'appareil peut être effacé à distance et retiré de la console en quelques minutes, sans dépendre de la restitution physique du matériel. C'est l'un des cas d'usage les plus fréquents en pratique.
Oui, mais cela nécessite une planification : les appareils déjà enrôlés dans un autre MDM doivent généralement être désinscrits puis réinscrits dans Intune, ce qui se prépare en amont pour éviter toute interruption pour les utilisateurs.
Oui, via un mode dédié au BYOD qui protège uniquement les données et applications professionnelles sur l'appareil, sans toucher aux données personnelles — l'entreprise ne voit ni ne contrôle le reste du téléphone.
C'est même l'un des cas d'usage où Intune apporte le plus de valeur : la gestion, la mise à jour et la sécurisation des appareils s'effectuent à distance, où que se trouve l'utilisateur, sans jamais nécessiter un passage au bureau.
En 30 minutes, nous évaluons votre parc actuel et vous indiquons si Intune est la bonne réponse pour votre entreprise — sans obligation d'aller plus loin.