Comparatif des profils de certificat MDM WiFi : Intune, Jamf Pro, JumpCloud, Kandji, Hexnode, Iru et Addigy

{{asset:header_image.png}}

Chaque solution MDM répertoriée ici peut déployer un profil de certificat EAP-TLS WiFi, créé à partir d'un certificat SCEP ou PKCS et d'une charge utile WiFi. Microsoft Intune et Hexnode prennent en charge Windows, Apple et Android. Jamf Pro, Kandji (désormais Iru) et Addigy prennent en charge les appareils Apple. JumpCloud délivre ses propres certificats. Le serveur RADIUS cloud de Purple valide le résultat. Valeurs à jour au 10 juin 2026.

Comment lire cette référence de profil de certificat WiFi pour MDM ?

Cette référence couvre une tâche : installer un certificat client et un profil WiFi correspondant sur des appareils gérés. Ces appareils rejoignent ensuite votre réseau sécurisé grâce à EAP-TLS, sur les points d'accès que vous utilisez déjà.

Chaque ligne de la matrice principale représente une solution MDM. Chaque colonne répond à une question que vous vous poseriez avant de rédiger une liste restreinte. La colonne Source indique la documentation du fournisseur ou la norme sous-jacente à chaque cellule. Lorsque nous n'avons trouvé aucune documentation pour une valeur, nous l'avons omise plutôt que de la deviner.

Les termes utilisés dans les colonnes

• EAP-TLS (Extensible Authentication Protocol avec Transport Layer Security, RFC 5216) : l'appareil prouve son identité à l'aide d'un certificat, et non d'un mot de passe.
• IEEE 802.1X : la norme de contrôle d'accès basée sur les ports que vos points d'accès appliquent sur un réseau WPA2-Enterprise ou WPA3-Enterprise SSID.
• RADIUS : le serveur qui vérifie chaque demande 802.1X. Il renvoie une acceptation ou un refus, ainsi que des attributs tels qu'un VLAN.
• VLAN (LAN virtuel) : le segment de réseau dans lequel un appareil est placé après l'authentification.
• SCEP (Simple Certificate Enrollment Protocol, RFC 8894) : l'appareil génère sa propre clé et demande un certificat auprès de votre autorité de certification (CA).
• PKCS #12 : un groupe qui contient un certificat et sa clé privée, généré hors de l'appareil.
• Noms de serveurs et de racines de confiance : les paramètres qui indiquent à un appareil quel certificat de serveur RADIUS accepter.

OÙ s'applique le profil

Purple Access gère trois réseaux sur une seule et même plateforme. Le réseau ouvert prend en charge la connexion par portail captif et l'intégration des appareils personnels (BYOD). Le réseau sécurisé prend en charge EAP-TLS, la connexion via le fournisseur d'identités, Passpoint et le serveur RADIUS cloud. Le réseau xPSK attribue à chaque appareil ou résident sa propre clé pré-partagée. Sur les trois réseaux, l'identité détermine le VLAN.

Tous les profils figurant dans cette référence s'appliquent au réseau sécurisé. Votre MDM fournit le certificat et le profil. Le serveur RADIUS cloud de Purple valide le certificat et lit l'identité qu'il contient. Le SSID reste sur vos points d'accès existants, vous n'avez donc besoin d'aucun matériel supplémentaire.

{"kind":"flow","direction":"lr","caption":"Comment un profil de certificat MDM atteint le réseau sécurisé","alt":"Flux depuis la console MDM et l'autorité de certification vers l'appareil géré, le point d'accès, le RADIUS cloud Purple et l'attribution de VLAN.","nodes":[{"id":"a","label":"Console MDM","sub":"Intune, Jamf Pro, JumpCloud, Kandji (maintenant Iru), Hexnode, Addigy","tone":"neutral"},{"id":"b","label":"Autorité de certification","sub":"Émet le certificat client par SCEP ou PKCS #12","tone":"neutral"},{"id":"c","label":"Appareil géré","sub":"Détient le certificat, la racine de confiance et le profil WiFi","tone":"neutral"},{"id":"d","label":"Point d'accès","sub":"Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi","tone":"neutral"},{"id":"e","label":"RADIUS cloud Purple","sub":"Valide EAP-TLS et lit l'identité","tone":"brand"},{"id":"f","label":"Attribution de VLAN","sub":"L'identité définit le VLAN sur le réseau sécurisé","tone":"success"}],"edges":[{"from":"a","to":"b","label":"challenge ou connecteur"},{"from":"b","to":"c","label":"certificat"},{"from":"a","to":"c","label":"profil WiFi","style":"dashed"},{"from":"c","to":"d","label":"802.1X"},{"from":"d","to":"e","label":"RADIUS"},{"from":"e","to":"f","label":"accès accepté"}]}

La date de référence

Chaque tableau comporte une date de référence. Cette édition date du 10 juin 2026. Les consoles MDM évoluent entre les versions, considérez donc une cellule plus ancienne que sa date de référence comme une incitation à vérifier la documentation liée.

{"tone":"note","title":"Périmètre","text":"Cette page compare ce que chaque MDM documente pour les profils de certificats WiFi. La tarification, l'application des correctifs et la gestion des applications sont hors périmètre."}

Quels profils de certificats WiFi chaque MDM prend-il en charge ?

La matrice répond à quatre questions par MDM. Quelles plateformes acceptent un profil de certificat WiFi ? Comment le certificat arrive-t-il ? Quels chemins d'AC le fournisseur documente-t-il ? Comment le profil WiFi pointe-t-il vers le certificat ?

{"caption":"Comparaison des profils de certificat WiFi MDM","asOf":"2026-06-10","columns":[{"key":"mdm","label":"MDM"},{"key":"plat","label":"Plateformes de profils WiFi"},{"key":"cert","label":"Distribution des certificats"},{"key":"ca","label":"Parcours d'AC documentés"},{"key":"eap","label":"Lien EAP-TLS"},{"key":"src","label":"Source"}],"rows":[["Microsoft Intune","Windows, macOS, iOS, iPadOS, Android Enterprise","Profils de certificats SCEP, PKCS et de confiance","AD CS via Certificate Connector, Microsoft Cloud PKI, AC partenaires","Le profil WiFi sélectionne le profil SCEP ou PKCS","Microsoft Learn : certificats dans Intune"],["Jamf Pro","macOS, iOS, iPadOS","Payloads de certificat (PKCS #12) et SCEP","AC intégrée, AD CS Connector, DigiCert, Venafi, proxy SCEP","Le payload WiFi sélectionne le certificat d'identité","Documentation Jamf Pro : certificats PKI"],["JumpCloud","macOS, Windows, iOS","Certificats délivrés par JumpCloud ; profils Apple personnalisés","AC JumpCloud pour JumpCloud RADIUS ; SCEP externe via profil personnalisé","Authentification basée sur certificat pour RADIUS","Assistance JumpCloud : authentification RADIUS basée sur certificat"],["Kandji (désormais Iru)","macOS, iOS, iPadOS, tvOS","Éléments de bibliothèque de certificats, SCEP et AD CS","AD CS via Kandji AD CS Connector ; tout serveur SCEP","L'élément de bibliothèque WiFi sélectionne le certificat d'identité","Assistance Kandji : éléments de bibliothèque"],["Hexnode","Windows, macOS, iOS, iPadOS, Android","Politiques de certificats et SCEP","Tout serveur SCEP, tel qu'AD CS avec NDES ; téléversement PKCS #12","La politique WiFi fait référence au certificat","Centre d'aide Hexnode : politiques WiFi et SCEP"],["Addigy","macOS, iOS, iPadOS","Payloads MDM de certificat et SCEP","Tout serveur SCEP ; téléversement PKCS #12","Le payload WiFi fait référence au certificat d'identité","Assistance Addigy : configurations MDM"]],"footnote":"Les plateformes sont celles documentées par chaque fournisseur pour les profils de certificats WiFi à la date asOf. Consultez les notes de version pour les plateformes plus récentes.","download":{"filename":"mdm-wifi-certificate-profiles.csv"}}

Trois tendances se dégagent. Intune et Hexnode documentent des profils de certificats WiFi pour Windows, Apple et Android. Jamf Pro, Kandji (désormais Iru) et Addigy s'appuient sur les payloads d'Apple, leurs options EAP sont donc identiques et leurs intégrations d'AC diffèrent. JumpCloud associe ses certificats à son propre service RADIUS, ce qui modifie la manière de le connecter à Purple.

Quelles remarques modifient une cellule de la matrice ?

Kandji et Iru désignent le même produit

Kandji a annoncé son changement de nom pour Iru en 2025. Une seule ligne couvre les deux noms, car les éléments de bibliothèque WiFi, Certificate, SCEP et AD CS restent le même produit. Les articles d'assistance plus anciens utilisent toujours le nom Kandji.

Intune nécessite un parcours d'AC avant que le profil WiFi ne fonctionne

Intune ne délivre lui-même des certificats que si vous disposez d'une licence Microsoft Cloud PKI. Dans le cas contraire, SCEP s'exécute via le Network Device Enrollment Service (NDES) et le connecteur de certificat Intune sur Active Directory Certificate Services (AD CS). L'utilisation d'une AC tierce prise en charge constitue l'autre option. La distribution PKCS utilise également le connecteur de certificat.

Déployez d'abord le profil de certificat approuvé, puis le profil SCEP ou PKCS, puis le profil WiFi qui fait référence aux deux. Le profil SCEP d'Intune comporte un seuil de renouvellement, exprimé en pourcentage de durée de vie restante, avec une valeur par défaut documentée de 20 %. Pour choisir entre une autorité de certification gérée et AD CS, lisez PKI gérée ou AD CS pour les certificats WiFi.

Les MDM réservés à Apple partagent un même modèle de charge utile

Jamf Pro, Kandji (désormais Iru) et Addigy configurent la charge utile WiFi d'Apple. La documentation d'Apple répertorie TLS, TTLS, LEAP, PEAP, EAP-FAST, EAP-SIM et EAP-AKA comme types EAP acceptés. La cellule EAP-TLS est donc identique pour les trois. La différence réside dans la colonne AC, où chaque fournisseur documente des intégrations différentes.

Les certificats JumpCloud sont conçus pour JumpCloud RADIUS

L'authentification basée sur les certificats de JumpCloud émet des certificats à partir d'une AC JumpCloud, pour son propre service RADIUS. Pour utiliser le RADIUS cloud de Purple à la place, confirmez deux points avec JumpCloud. Premièrement, un serveur RADIUS tiers peut-il faire confiance à cette AC d'émission ? Deuxièmement, un profil personnalisé contenant une charge utile SCEP vers votre propre AC convient-il à votre parc Apple ? Le guide JumpCloud et 802.1X détaille ces deux options.

La validation du serveur est un paramètre séparé

Intune l'intitule "Certificat racine pour la validation du serveur" et "Noms de serveur de certificats". Les charges utiles Apple l'appellent certificats approuvés et noms de serveur approuvés. Chaque MDM de la matrice le propose, mais aucun ne le remplit à votre place.

{"tone":"warning","title":"Définissez la confiance envers le serveur dans chaque profil","text":"Laissez la racine approuvée ou les noms de serveur vides et l'appareil pourra demander à la personne qui le détient de faire confiance au serveur. Un point d'accès malveillant peut exploiter cette invite."}

L'identité contenue dans le certificat définit le VLAN

Un certificat d'appareil identifie le matériel. Un certificat individuel identifie le membre du personnel connecté, généralement via le UPN (nom de connexion à l'annuaire) dans le nom alternatif du sujet. Les caisses partagées et les bornes interactives conviennent aux certificats d'appareil. Les ordinateurs portables attribués conviennent aux certificats individuels, associés aux groupes Microsoft Entra ID, Okta ou Google Workspace.

PEAP sur Windows 11 modifie la cellule de migration

Microsoft documente que Credential Guard bloque l'authentification unique (SSO) avec MS-CHAPv2, la méthode de mot de passe utilisée dans PEAP. Windows 11 22H2 et les versions ultérieures activent Credential Guard par défaut pour les appareils éligibles. Les profils WiFi basés sur des mots de passe peuvent cesser de fonctionner après une mise à jour, ce qui fait du passage à EAP-TLS une tâche planifiée.

{"tone":"proof","title":"Ce que le changement apporte","text":"McDonald's a enregistré 80 % de demandes en moins auprès du support informatique sur Purple. La configuration du MDM prend entre 5 et 10 minutes, une seule fois, pour l'ensemble de l'organisation."}

Comment les variantes de certificats et d'EAP s'associent-elles aux réseaux Purple ?

La matrice principale compare les MDM. Celle-ci compare les variantes de profils qu'ils déploient, la norme sous-jacente à chacune, et le réseau Purple sur lequel chacune aboutit. La colonne mise en évidence montre l'adéquation avec Purple.

{"caption":"Variants de profils WiFi par norme et réseau Purple","asOf":"2026-06-10","columns":[{"key":"v","label":"Variante"},{"key":"c","label":"Contenu du profil"},{"key":"s","label":"Norme"},{"key":"p","label":"Adéquation réseau Purple","highlight":true},{"key":"src","label":"Source"}],"rows":[["EAP-TLS, certificat d'appareil via SCEP","Clé générée par l'appareil, CA racine, SSID, noms de serveurs","IEEE 802.1X, RFC 5216, RFC 8894","Réseau sécurisé ; l'identité de l'appareil définit le VLAN","RFC Editor ; documentation MDM ci-dessus"],["EAP-TLS, certificat individuel via SCEP","Certificat lié à la personne connectée (type `User` Intune)","IEEE 802.1X, RFC 5216, RFC 8894","Réseau sécurisé ; le groupe d'annuaire définit le VLAN","Microsoft Learn : profils de certificat SCEP"],["EAP-TLS, distribution PKCS #12","Paire de clés générée hors appareil, distribuée sous forme de bundle","RFC 7292, RFC 5216","Réseau sécurisé ; privilégier SCEP lorsqu'il est proposé","Microsoft Learn : certificats PKCS"],["EAP-TLS, ACME avec attestation","Clé liée au matériel demandée sur un appareil Apple","RFC 8555 ; payload de certificat ACME Apple","Réseau sécurisé ; confirmer d'abord la prise en charge MDM","Documentation Apple Device Management"],["Passpoint avec EAP-TLS","Certificat plus domaine, domaine NAI et consortium d'itinérance","Hotspot 2.0 (IEEE 802.11u)","Réseau sécurisé ; connexion automatique sur tous les sites","Documentation Apple Device Management"],["PEAP-MSCHAPv2","Nom d'utilisateur et mot de passe ; aucun certificat client","RFC 2759 (MS-CHAPv2)","Ceci n'est pas un profil de certificat ; migrer vers EAP-TLS","Microsoft Learn : Credential Guard"],["xPSK, sans certificat","Une clé prépartagée unique par appareil ou résident","WPA2-Personal ou WPA3-Personal","Réseau xPSK ; l'identité de la clé définit le VLAN","Documentation Purple Access"]],"footnote":"L'adéquation réseau Purple reflète les trois réseaux Purple Access : ouvert, sécurisé et xPSK."}

Considérez les deux premières lignes comme des choix par défaut. SCEP conserve la clé privée sur l'appareil, c'est pourquoi nous le classons au-dessus de la distribution PKCS #12. ACME (Automatic Certificate Management Environment, RFC 8555) ajoute des clés liées au matériel sur les appareils Apple récents. La prise en charge MDM pour ce protocole varie, vérifiez donc auprès de votre fournisseur au préalable. Le guide SCEP vs ACME compare ces deux protocoles d'enrôlement.

Passpoint (Hotspot 2.0) permet à un appareil de rejoindre automatiquement un réseau reconnu, en utilisant son identifiant et une correspondance de domaine. Le personnel se déplaçant entre les sites n'a plus besoin de choisir un SSID à chaque fois. xPSK se situe en dehors des profils de certificat. Il convient aux imprimantes et aux capteurs de l'Internet des objets (IoT) qui ne peuvent pas héberger de certificat.

La segmentation basée sur l'identité fonctionne déjà à grande échelle. JPMorgan exploite le WiFi du personnel sur Purple dans 5 000 agences, et Whitbread exploite un WiFi du personnel segmenté sur Purple. Si seuls les appareils respectant une politique de conformité Intune doivent accéder au WiFi du personnel, consultez le guide politique de conformité Intune vers accès WiFi.

D'où provient chaque valeur ?

Chaque cellule provient de l'une de ces sources principales :

• Microsoft Intune : Microsoft Learn, certificats dans Intune, plus les articles sur les paramètres WiFi et Credential Guard par plateforme.
• Jamf Pro : Documentation Jamf, certificats PKI et profils de configuration.
• JumpCloud : Support JumpCloud, authentification basée sur les certificats RADIUS.
• Kandji (désormais Iru) : Support Kandji, éléments de bibliothèque WiFi, SCEP et AD CS.
• Hexnode : Centre d'aide Hexnode, politiques WiFi et SCEP.
• Addigy : Support Addigy, configurations MDM.
• Apple : Documentation Apple Device Management pour les charges utiles de certificat WiFi, SCEP et ACME.
• Normes : RFC 5216 (EAP-TLS), RFC 9190 (EAP-TLS 1.3), RFC 8894 (SCEP), RFC 8555 (ACME), RFC 7292 (PKCS #12), IEEE 802.1X-2020 et IEEE 802.11u.

Pour avoir une vue d'ensemble, commencez par le pilier du réseau sécurisé sur les certificats, l'identité et le Passpoint. La vue produit se trouve sur Purple WiFi du personnel sur le réseau sécurisé. Pour le cadre d'audit, consultez le guide de sécurité du WiFi d'entreprise.

Comment cette référence est-elle maintenue ?

Nous vérifions à nouveau chaque cellule par rapport à sa source liée lors de chaque édition et mettons à jour la date d'actualité sur les deux tableaux. Une cellule ne change que lorsqu'une documentation fournisseur ou une norme évolue. Si aucun document ne vient étayer une valeur, celle-ci est retirée du tableau au lieu d'être conservée de mémoire.

Les changements de nom de marque et les ajouts de plateformes sont enregistrés sous forme de notes, comme pour Kandji et Iru. Si un fournisseur déploie une modification avant notre prochaine édition, la documentation du fournisseur prévaut sur cette page.

Foire aux questions

Ai-je besoin de nouveaux points d'accès pour utiliser les profils de certificats MDM avec Purple ?

Non. Les profils de certificats s'exécutent sur les SSID WPA2-Enterprise ou WPA3-Enterprise que vos points d'accès prennent déjà en charge. Purple est indépendant du matériel et s'exécute sous forme de superposition cloud sur Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme et Fortinet. Vous pointez le SSID vers le RADIUS cloud de Purple dans votre console sans fil. Purple fonctionne sur ce modèle dans plus de 80 000 sites répartis dans 90 pays.

Quel MDM convient à un parc combinant Windows, Apple et Android ?

Microsoft Intune ou Hexnode, selon les plateformes documentées par chacun pour les profils de certificats WiFi. Jamf Pro, Kandji (désormais Iru) et Addigy documentent les appareils Apple ; un parc mixte doit donc les associer à un second outil. JumpCloud documente macOS, Windows et iOS pour l'authentification basée sur les certificats. Le RADIUS cloud de Purple accepte les certificats de n'importe lequel de ces outils, à condition qu'il fasse confiance à l'AC émettrice.

Combien de temps prend la configuration MDM avec Purple ?

La configuration MDM prend de cinq à 10 minutes, une seule fois, pour l'ensemble de l'organisation. Ce délai couvre la partie intégration côté Purple. Le parcours de votre AC prend plus de temps s'il n'existe pas encore, par exemple pour le déploiement de NDES ou l'attribution de licences Microsoft Cloud PKI. Une fois les deux opérationnels, les nouveaux appareils reçoivent le certificat et le profil WiFi lors de l'enrôlement, sans aucune intervention par appareil.

Dois-je utiliser SCEP ou PKCS #12 pour les certificats WiFi ?

Utilisez SCEP si votre MDM et votre AC le prennent en charge. Avec SCEP, l'appareil génère sa clé privée et celle-ci ne le quitte jamais. Avec PKCS #12, la paire de clés est créée ailleurs et fournie sous forme de bundle, de sorte que davantage de systèmes manipulent la clé. PKCS #12 reste une option valide pour une AC sans point de terminaison SCEP.

Puis-je migrer de PEAP vers EAP-TLS sans interruption durant un week-end ?

Oui. Publiez un nouveau profil EAP-TLS, ou un nouveau SSID, parallèlement au profil PEAP existant. Supprimez PEAP une fois que les journaux d'authentification RADIUS montrent que les appareils utilisent des certificats. Windows 11 Credential Guard rend cette transition urgente, car il bloque l'authentification unique (SSO) avec MS-CHAPv2 sur les appareils éligibles. Une mise en œuvre progressive par site ou par groupe d'appareils permet de maintenir un volume de demandes stable auprès du support technique pendant le changement.

Un profil de certificat EAP-TLS aide-t-il pour les audits PCI DSS ou ISO 27001 ?

Il fournit des preuves pour ces contrôles, mais ne garantit pas la validation automatique de l'audit. Un profil de certificat démontre que chaque appareil s'est authentifié à l'aide d'un identifiant unique sur IEEE 802.1X, avec un trafic chiffré sous WPA2-Enterprise ou WPA3-Enterprise. Les auditeurs peuvent associer ces éléments aux exigences de réseau WiFi et d'authentification de la norme PCI DSS v4.0, ainsi qu'au contrôle d'accès ISO 27001. Purple détient les certifications ISO 27001 et Cyber Essentials.

Combien coûte chaque option ?

Ce document ne mentionne pas de prix, car les fournisseurs les modifient plus souvent que leur documentation. Prévoyez un budget pour deux éléments au-delà des licences MDM. Le premier est l'AC : Microsoft Cloud PKI est un module complémentaire d'Intune, tandis qu'AD CS fonctionne sur Windows Server avec NDES pour SCEP. Le second est RADIUS, que Purple Access fournit sous forme de service cloud.

Kandji et Iru nécessitent-ils des profils WiFi différents ?

Non. Kandji a annoncé son changement de nom pour Iru en 2025, et ces deux noms désignent le même produit. Vos éléments de bibliothèque WiFi, Certificat, SCEP et AD CS existants restent valides, vous conservez donc la même racine de confiance, les mêmes noms de serveurs et le même certificat d'identité. Le service RADIUS cloud de Purple voit le même certificat dans les deux cas, et les règles VLAN que vous avez créées restent en place.