Cette référence explique chaque statut de problème que vous pouvez rencontrer sur la page Conformité > Problèmes de conformité : ce que le dispositif rapporte réellement, les causes sous-jacentes sur macOS et Windows, et comment le résoudre. Pour choisir quels statuts soulèvent des problèmes, consultez Configurer les paramètres des problèmes de conformité ; pour le flux de travail de triage lui-même, voir Trier la liste des problèmes.

Les plateformes mobiles (iOS, iPadOS, Android) et Linux sont couvertes par un sous-ensemble de ces règles — voir Plates-formes prises en charge pour ce qui s'applique où.

Comment Factorial IT décide qu'un dispositif est non conforme

• Chaque fois qu'un dispositif se synchronise, Factorial IT relance chaque règle de conformité et calcule un statut par règle — il n'y a pas de scan séparé.
• Un dispositif soulève un problème uniquement si son statut actuel est celui que vous avez défini pour soulever un problème dans Conformité > Paramètres des problèmes de conformité. Un statut défini sur Off ne soulève jamais rien.
• Les problèmes se résolvent automatiquement lors de la prochaine synchronisation une fois que le statut s'améliore. Il n'y a pas de reconnaissance ou de fermeture manuelle.

Consultez l'aperçu de la conformité pour le modèle d'évaluation complet.

Éliminer d'abord les données obsolètes

Un statut de conformité est un instantané du dernier synchronisation du dispositif. Avant de traiter un problème comme une véritable violation, vérifiez si les données sont obsolètes :

Statut d'inscription

Une règle globale qui s'applique à chaque dispositif géré. Elle vérifie si le dispositif est entièrement inscrit et si l'agent MDM communique toujours avec le serveur.

Pourquoi les dispositifs sortent de l'inscription

Causes qui s'appliquent aux deux plateformes :

• L'employé n'a pas terminé toutes les étapes d'inscription, ou n'est pas resté connecté assez longtemps pour terminer la synchronisation.
• L'agent a été désinstallé manuellement, ou une mise à jour système ou une erreur de configuration a corrompu l'installation.
• Le service osqueryd utilisé par l'agent a arrêté, ou l'agent échoue à démarrer en raison de problèmes de permission.
• Le dispositif se trouve sur un réseau qui bloque l'accès au serveur MDM — un proxy ou un pare-feu coupe la communication. Voir Exigences réseau.

macOS

• Un utilisateur administrateur peut supprimer un profil MDM déverrouillé des paramètres système. Le dispositif rapporte alors MDM_OFF même si l'agent peut encore répondre.
• Un jeton APNs expiré ou révoqué empêche le dispositif de valider son profil — le profil devient invalide sans que personne ne touche le dispositif.
• Une action turn off mdm exécutée depuis le serveur MDM supprime la gestion.
• L'installation de l'agent Factorial IT est incomplète — la cause la plus courante d'inscription partielle sur macOS.

Windows

• Le dispositif est toujours inscrit dans un ancien MDM et rapporte MDM_ON_IN_ANOTHER_MDM — migrez-le hors du vieux MDM avant de le réinscrire.
• Un proxy ou un pare-feu d'entreprise bloquant la connexion au serveur laisse un agent installé silencieux (MISSING_AGENT).

Résoudre les problèmes d'inscription

• MISSING_AGENT — dans le panneau du dispositif, cliquez sur le bouton de statut du dispositif pour déclencher à distance l'installation de l'agent. Si cela échoue, demandez à l'employé d'ouvrir sa page d'inscription Factorial IT, de cliquer sur son dispositif assigné et de télécharger l'agent.
• MDM_ON_IN_ANOTHER_MDM — migrez d'abord le dispositif de l'ancien MDM.
• MDM_OFF — demandez à l'employé de se réinscrire. Vous pouvez automatiser cela : dans MDM > Paramètres, définissez Désinscription automatique sur un délai hors ligne et activez Inviter l'employé à se réinscrire.

Attendez jusqu'à 30 minutes pour que le statut se mette à jour après la correction. Détails complets : Résoudre les problèmes d'inscription.

Statut en ligne

Une règle globale qui suit si le dispositif se connecte au serveur.

Pourquoi les dispositifs deviennent hors ligne

• Le dispositif est éteint ou en veille — un employé en congé, ou un appareil de rechange dans un tiroir.
• Le réseau bloque la connexion de l'agent au serveur (VPN, proxy, règles de pare-feu). Voir Exigences réseau.
• L'agent ne fonctionne plus. Un dispositif qui semble hors ligne tout en étant activement utilisé par un employé indique généralement un agent manquant ou un problème de réseau, et non un dispositif réellement hors ligne — vérifiez le problème de statut d'inscription pour ce même dispositif.

Résoudre les problèmes en ligne

Confirmez avec l'employé si le dispositif est en cours d'utilisation. Si c'est le cas, traitez-le comme un cas MISSING_AGENT (voir ci-dessus). Si le bruit provient de courtes interruptions, soulevez des problèmes uniquement sur Hors ligne 7+ jours.

Support de plateforme

Une règle globale qui vérifie le système d'exploitation du dispositif par rapport à la base de référence que Factorial IT prend en charge en tant que source de signal MDM. Un dispositif en dessous de cette base de référence ne peut pas s'inscrire de manière fiable, rapporter des télémétries ou respecter des politiques — ce problème constitue votre liste de mise à niveau.

MEETS_REQUIREMENTS est le statut conforme. La règle reste silencieuse jusqu'à ce que le dispositif ait rapporté ses informations sur le système d'exploitation, donc un dispositif fraîchement inscrit n'est jamais signalé comme inconnu.

Résoudre les problèmes de support de plateforme

• BELOW_MINIMUM_VERSION — mettez à niveau le système d'exploitation. Les bases de référence actuelles par plateforme sont listées dans Plates-formes prises en charge.
• UNSUPPORTED_OS_EDITION — mettez à niveau l'édition, pas seulement la version : voir les limitations de Windows Home et Mettre à niveau vers Windows 11.

Chiffrement

Vérifie le chiffrement de disque complet : FileVault sur macOS, BitLocker sur Windows. Le chiffrement n'est pas activé par défaut — il commence lorsque vous activez le contrôle Chiffrement de disque, qui s'applique globalement aux dispositifs inscrits une fois créé.

ENCRYPTED est le statut conforme. Les dispositifs iOS et iPadOS rapportent toujours ENCRYPTED — leur stockage est chiffré matériellement par conception. Un dispositif Windows Home ne soulève aucun statut de chiffrement : il ne peut pas exécuter BitLocker et apparaît sous le support de plateforme comme UNSUPPORTED_OS_EDITION à la place.

macOS

• FileVault s'active une fois que le contrôle de Chiffrement de disque cible le dispositif, mais le chiffrement ne prend effet qu'après le prochain redémarrage. Un Mac qui ne redémarre jamais reste NOT_ENCRYPTED — demandez à l'employé de redémarrer.
• La clé de récupération est mise en séquestre d'ici 24 heures après ce redémarrage. Un Mac fraîchement chiffré affichant MISSING_RECOVERY_KEY dans cette fenêtre se résout de lui-même.
• Un Mac chiffré avant l'inscription a une clé que Factorial IT n'a jamais vue — la mise en séquestre n'est pas rétroactive. L'employé doit entrer son mot de passe lorsqu'il y est invité afin qu'une nouvelle clé puisse être générée et mise en séquestre (ACTION_REQUIRED).

Windows

• BitLocker commence à chiffrer dès que le contrôle atteint le dispositif, sans redémarrage requis, et la clé est stockée dès que le chiffrement s'active. Un dispositif Windows bloqué sur NOT_ENCRYPTED a généralement un bloqueur, pas un retard.
• BitLocker nécessite un TPM fonctionnel. Un TPM manquant ou désactivé par le firmware empêche le chiffrement de démarrer.

Détails de contrôle : Chiffrement de disque.

Mise à jour du système d'exploitation

Vérifie que les dispositifs installent les mises à jour du système d'exploitation requises avant la date limite que vous imposez.

UP_TO_DATE est le statut conforme. Entre la sortie d'une mise à jour et sa date limite, le dispositif reste conforme — NOT_UP_TO_DATE ne se déclenche qu'une fois la date limite passée. Un dispositif dont le système d'exploitation est trop ancien pour Factorial IT lui-même est un problème de support de plateforme, pas un problème de mise à jour du système d'exploitation.

Pourquoi les dispositifs prennent du retard sur les mises à jour

• La date limite compte à partir de la date de disponibilité de la mise à jour, pas de quand vous avez configuré la politique. Activer la politique sur une flotte exécutant des versions plus anciennes signale immédiatement ces dispositifs — attendez-vous à une vague de problèmes dès le premier jour.
• Peu d'espace disque bloque la mise à jour sur chaque plateforme, et aucune d'entre elles ne libère d'espace automatiquement. Sur macOS 14+, l'employé voit une notification système ; sur macOS 13 et antérieur, la fenêtre de rappel continue de réapparaître pendant que le téléchargement échoue ; sur Windows, l'employé est informé que la mise à jour a échoué. Un administrateur peut devoir intervenir.
• Le dispositif était éteint lorsque la date limite est passée. Sur macOS 14+, la mise à jour est programmée une heure après qu'il se soit rallumé ; sur Windows, l'employé bénéficie de la période de grâce configurée avant le redémarrage automatique.
• L'employé continue de différer dans la fenêtre autorisée — la pression augmente à mesure que la date limite approche (notifications horaires 24 heures avant, plus fréquentes dans la dernière heure).

Résoudre les problèmes de mise à jour

Demandez à l'employé de libérer de l'espace disque si cela est le bloqueur, puis laissez le flux d'application se dérouler — il s'escalade de lui-même. Détails et le calendrier exact des notifications par plateforme : Appliquer la version minimale du système d'exploitation.

Protection des points de terminaison (SentinelOne, ThreatDown)

Disponible une fois l'intégration correspondante connectée. Vérifie que l'agent de protection des points de terminaison est installé et rapporte.

ACTIVE est le statut conforme pour les deux outils.

Pourquoi les dispositifs apparaissent comme non protégés

• Le contrôle vient d'être activé — l'agent s'installe lors de la prochaine synchronisation du dispositif.
• L'agent a été désinstallé localement ou ne fonctionne pas.
• L'intégration elle-même est obsolète. Les jetons utilisateurs du service SentinelOne expirent ; une fois le jeton expiré, la synchronisation s'arrête et les statuts de protection deviennent obsolètes à l'échelle de la flotte. Créez un nouveau jeton et contactez notre équipe pour le remplacer. Voir Renouveler le jeton utilisateur du service.
• Le dispositif est hors ligne, donc son véritable état de protection est inconnu.

Configuration et remédiation : SentinelOne, ThreatDown.

Comptes administrateurs (Gestion des utilisateurs administrateurs, Rotation des mots de passe administrateurs)

Vérifie que le compte administrateur local géré existe, détient les privilèges attendus, et fait tourner son mot de passe selon le calendrier.

Pourquoi les actions sur les comptes administrateurs stagnent

• CREATION_PENDING sur un dispositif hors ligne se résout une fois qu'il se synchronise.
• Sur macOS, la démotion attend que le Factorial IT-géré compte administrateur lui-même détienne un SecureToken — le jeton dont FileVault dépend. Factorial IT ne démote délibérément personne avant cela, donc le dispositif n'est jamais laissé sans un administrateur détenant un jeton, et DEMOTION_PENDING persiste (le dispositif enregistre l'événement ADMIN_DEMOTION_BLOCKED_SECURE_TOKEN_NOT_GRANTED). L'administrateur géré reçoit son jeton lors de son première connexion sur le dispositif — demandez à quelqu'un de se connecter à ce compte une fois, ou accordez le jeton manuellement. Voir Règles de SecureToken.
• Le cockpit peut prendre jusqu'à 24 heures pour actualiser le statut du compte local dans l'onglet Utilisateurs du dispositif — vérifiez sur le dispositif avant de conclure à un échec.

Lorsque le nom d'utilisateur existe déjà sur le dispositif et que Factorial IT n'a pas créé le compte, Gestion des utilisateurs administrateurs le signale comme créé (ADMIN_ACCOUNT_PRE_EXISTING). Factorial IT ne détient pas son mot de passe jusqu'à ce qu'un contrôle de rotation des mots de passe administrateurs le remplace.

La règle de Rotation des mots de passe administrateurs signale ses propres statuts : PENDING, SUCCESS, ERROR. SUCCESS est conforme ; PENDING se résout une fois que le dispositif applique la rotation, donc ERROR est le statut qui mérite d'être signalé comme un problème.

Un ERROR sans statut supplémentaire signifie que la rotation est en retard.

Détails de contrôle : Gestion des administrateurs, Rotation des mots de passe administrateurs.

Verrouillage iCloud (Verrouillage d'activation)

macOS seulement — Le verrouillage d'activation existe également sur iOS et iPadOS, mais cette règle de conformité n'évalue que les Macs. Elle vérifie que lorsque le verrouillage d'activation est activé, Factorial IT détient le code de contournement, afin que le dispositif puisse être récupéré après un effacement sans le compte Apple de l'employé.

ENABLED (verrou activé, code mis en séquestre) et DISABLED (verrou désactivé) sont tous deux conformes. La règle ne produit aucun statut tant que le dispositif n'est pas entièrement inscrit ou que son état de verrouillage est encore inconnu.

Pourquoi un code de contournement est manquant

La mise en séquestre se produit au moment où le verrouillage d'activation s'active — il n'est pas rétroactif. Toutes ces conditions doivent être vraies pour que le code soit mis en séquestre :

• Le dispositif est supervisé via MDM.
• Le dispositif a été inscrit avant que le verrouillage d'activation ne soit activé. Si l'employé a activé Localiser mon iPhone avant l'inscription, le code ne peut pas être récupéré — le seul chemin de récupération est ses identifiants de compte Apple.
• Le dispositif est la propriété de l'entreprise (les dispositifs BYOD ne sont pas éligibles).
• Le profil MDM est installé au niveau système (l'inscription approuvée par l'utilisateur sans Apple Business ne met pas de manière fiable les codes en séquestre).

Analyse et remédiation scénario par scénario : Mise en séquestre du code de contournement du verrouillage d'activation.

Recovery OS

macOS uniquement. Vérifie que la configuration de protection recoveryOS est appliquée. Seuls les Macs Apple Silicon sont évalués — les Macs Intel ne peuvent pas prendre en charge la protection recoveryOS et ne produisent aucun statut.

PROTECTED est le statut conforme. L'application complète nécessite que le dispositif soit inscrit avec le niveau de supervision approprié — un Mac non supervisé est la première chose à vérifier sur FAILED. Détails de contrôle : protection recoveryOS.

Pourquoi la protection recoveryOS échoue

Outre la supervision, deux causes laissent un Mac sur FAILED :

• L'option Mot de passe de verrouillage de récupération de la flotte est activée. La flotte refuse alors le commandement de Factorial IT et définit son propre mot de passe sur les Macs nouvellement inscrits.
• Le Mac a déjà un mot de passe de verrouillage de récupération, défini par un autre outil ou un autre MDM. Le Mac refuse le mot de passe de Factorial IT tant que celui-ci est en place.

Que faire pour chaque cause : Dépannage de la protection recoveryOS.

Contrôles livrés par profil

Pare-feu, Politique de mot de passe, Wi-Fi, Blocage USB, Blocage d'applications, Capture d'écran, Désactiver AirDrop, Verrouiller le panneau de profils, Google Chrome, Nommage des dispositifs, Fichier de configuration personnalisé, Web Clip, AirPrint, Mise à jour logicielle (macOS), et les contrôles SSO (Entra SSO, Okta SSO, Factorial IT SSO) fonctionnent tous de la même manière : Factorial IT livre une configuration au dispositif, et le dispositif rapporte en retour. Ils partagent les mêmes statuts de livraison :

ENFORCED est le statut conforme.

Pourquoi une configuration échoue à s'appliquer

macOS

• Un utilisateur administrateur a supprimé le profil MDM portant la configuration (sauf si Verrouiller le panneau de profils l'en empêche).
• Des problèmes APNs empêchent le dispositif de recevoir ou de valider les profils — vérifiez le problème de statut d'inscription pour ce même dispositif.
• Le contrôle cible une capacité que le dispositif n'a pas : les contrôles SSO de plateforme nécessitent des versions récentes de macOS (la connexion Mac avec Factorial IT nécessite macOS 27 ou ultérieur), et l'employé doit compléter l'invite d'enregistrement du fournisseur d'identité dans sa session.

Windows

• Windows Home / Family n'applique que partiellement les politiques de sécurité — plusieurs configurations nécessitent Pro, Enterprise ou Éducation, et échouent sans une erreur explicite sur Home. Voir les limitations de Windows Home.
• Un paramètre conflictuelle d'un ancien MDM ou une politique de groupe locale écrase la valeur livrée.

PENDING qui persiste signifie généralement que le dispositif est hors ligne — réparez d'abord la connectivité. Pour ERROR, ouvrez le tiroir du dispositif et accédez au contrôle MDM associé pour vérifier sa configuration. Ensuite, renvoyez le profil à ce dispositif : dans la section Contrôles MDM du tiroir, cliquez sur Renvoyer le profil sur la ligne du contrôle. Le dispositif installe le profil lors de sa prochaine vérification. Un iPhone ou un iPad l'installe une fois déverrouillé.

Le cockpit refuse un renvoi lorsque aucun profil de configuration n'applique le contrôle, lorsque le profil est une déclaration, lorsqu'il n'est pas assigné à ce dispositif, ou lorsqu'il est encore en cours de livraison. Dans ce dernier cas, attendez que le dispositif se synchronise.

Accès à distance (RustDesk)

Contrairement aux contrôles livrés par profil, la règle d'accès à distance suit une installation de logiciel, pas un profil de configuration.

INSTALLED est le statut conforme. Un PENDING persistant signifie généralement que le dispositif est hors ligne ou que l'installation est encore en attente — vérifiez l'état d'installation du logiciel depuis le panneau du dispositif, puis laissez la prochaine synchronisation résoudre le problème.

Résoudre tout problème : la boucle générale

1. Ouvrez le tiroir du dispositif. Cliquez sur la ligne du problème dans Conformité > Problèmes de conformité. Examinez le statut complet du dispositif à travers chaque règle — plusieurs problèmes sur un même dispositif partagent souvent une seule cause racine (hors ligne, agent manquant, profil supprimé).
2. Séparez les obsolètes des réels. Vérifiez quand le dispositif s'est synchronisé pour la dernière fois. S'il a été hors ligne, réparez la connectivité avant toute autre chose.
3. Corrigez la cause profonde. Utilisez les sections ci-dessus. Les actions de remédiation (pousser le profil, verrouiller, effacer) sont disponibles depuis le tiroir du dispositif — voir Gérer vos dispositifs.
4. Laissez le problème se résoudre de lui-même. Les problèmes se résolvent automatiquement lors de la prochaine synchronisation du dispositif une fois que le statut s'améliore. Si un problème ne devrait jamais s'être déclenché, définissez ce statut sur Off dans Conformité > Paramètres des problèmes de conformité à la place.

Permissions