Jamf Pro 11.31 : sécuriser la continuité des alertes SMTP

Article créé le 29 août 2026 · Source analysée le 29 août 2026 · Source officielle : Jamf · Thème : Jamf Pro, MDM Apple, identité et sécurité

Jamf Pro 11.31 retire les options d’authentification SMTP Basic Credentials et None des nouvelles instances. Les configurations existantes ne sont pas affectées, mais cette différence entre ancien et nouveau tenant doit déclencher un contrôle de continuité : une console MDM qui fonctionne mais n’envoie plus ses alertes crée un angle mort opérationnel.

1. Ce que Jamf a réellement changé

Dans les notes officielles de Jamf Pro 11.31.0, Jamf classe deux éléments comme retirés : les options Basic Credentials et None dans les réglages d’authentification du serveur SMTP. Le retrait concerne les instances nouvellement créées ; Jamf précise que les instances préexistantes ne sont pas affectées.

Jamf n’annonce donc ni l’arrêt immédiat des configurations existantes ni une migration automatique. Il ne faut pas extrapoler une échéance que l’éditeur ne donne pas. En revanche, recréer un tenant, préparer une reprise après sinistre ou harmoniser plusieurs instances peut désormais produire un comportement différent si le runbook suppose encore ces options.

2. Pourquoi le SMTP appartient au plan de contrôle MDM

Les e-mails Jamf peuvent porter des alertes, des notifications de workflow et des signaux nécessaires au support. Leur perte ne coupe pas APNs, Apple Business Manager ou l’enrôlement automatisé, mais elle peut retarder la détection d’un certificat, d’une intégration ou d’une opération qui exige une action humaine.

Le risque se situe dans la chaîne complète : identité d’envoi, fournisseur de messagerie, OAuth 2.0 lorsque pris en charge, règles d’accès conditionnel, DNS, filtrage sortant, relais, réputation et boîte destinataire. Un test réussi dans l’interface ne remplace pas la surveillance d’un message réellement reçu.

3. Concevoir une identité technique durable

Une identité SMTP Jamf doit avoir un propriétaire, un périmètre et une procédure de reprise. Évitez de la rattacher au compte personnel d’un administrateur. Documentez le tenant de messagerie, l’adresse d’expédition, les droits minimaux, les mécanismes de renouvellement et les personnes autorisées à modifier la configuration.

Lorsque la plateforme de messagerie et Jamf permettent OAuth 2.0, la configuration doit être traitée comme une intégration applicative : consentements, secret ou certificat, durée de vie, révocation et journaux. Le choix exact dépend de la version Jamf et du fournisseur ; il doit être validé dans la documentation correspondant à l’instance, sans supposer qu’un paramètre observé ailleurs existe partout.

4. Qu’est-ce que cette annonce change pour une entreprise belge ou française ?

Une PME doit surtout vérifier que les alertes ne dépendent pas d’un ancien compte ou d’un relais anonyme oublié. Une ETI, une grande entreprise ou une administration opérant en Belgique et en France doit comparer ses tenants, ses environnements de secours et ses politiques Microsoft 365 ou Google Workspace : la même procédure peut réussir sur une instance historique et échouer sur une nouvelle.

Pour les DSI et responsables sécurité, la preuve utile combine configuration, test périodique, réception et journalisation. Cette discipline aide les contrôles internes et les démarches ISO 27001 ou NIS2, sans suffire à démontrer la conformité. Les équipes support doivent aussi disposer d’un canal alternatif si la messagerie ou l’identité fédérée est indisponible.

5. Lecture Underside : tester le signal, pas seulement le bouton

Notre lecture est que le retrait des modes anciens révèle une dépendance souvent sous-documentée. Le SMTP ne doit pas rester une case configurée une fois lors de l’installation : c’est un service avec une identité, des dépendances réseau et une attente de livraison mesurable.

Le bon contrôle consiste à générer périodiquement une notification bénigne, vérifier sa réception dans le délai attendu et alerter par une voie distincte en cas d’échec. Cette approche complète la migration des administrateurs Jamf vers OIDC et la collecte centralisée des journaux Apple et MDM.

6. Plan d’action recommandé

• Inventorier chaque instance Jamf, son mode SMTP et son fournisseur de messagerie.
• Identifier les relais sans authentification et les identifiants basiques encore utilisés.
• Créer une identité technique avec propriétaire, droits minimaux et procédure de révocation.
• Valider le mode moderne réellement pris en charge par la version Jamf et le fournisseur.
• Tester émission, réception, filtrage, délais et journalisation depuis chaque environnement.
• Intégrer la configuration SMTP au runbook de création de tenant et de reprise après sinistre.

Source officielle : Jamf Pro 11.31.0 Release Notes — Deprecations and Removals.