Jamf Self Service+ : le libre-service Apple sous contrôle

Le 14 juillet 2026, Jamf a présenté en détail Self Service+, son portail unifié déjà disponible sur Mac. La version pour iPhone et iPad vise une mise à disposition le 20 juillet 2026, sous réserve de l’approbation d’Apple, puis un déploiement progressif via l’App Store. L’objectif est simple à comprendre : réunir dans une même application les logiciels approuvés, les mises à jour, les ressources internes, les notifications et, selon les produits Jamf déployés, l’identité et l’état de sécurité de l’appareil.

Pour une entreprise, l’intérêt ne tient pourtant pas à une nouvelle icône. Self Service+ peut accélérer l’installation d’un logiciel ou la résolution d’une demande courante, mais seulement si le catalogue, les droits et les délais de mise à jour sont gouvernés. Un libre-service mal entretenu déplace les tickets au lieu de les supprimer. Un libre-service bien cadré donne de l’autonomie sans abandonner le contrôle.

Self Service+ est la nouvelle expérience utilisateur de l’écosystème Jamf. Sur Mac, l’application permet d’afficher et d’exécuter ce que l’équipe IT a préalablement préparé dans Jamf Pro : applications du Mac App Store, profils de configuration, livres, politiques, mises à jour applicatives et signets vers des ressources internes.

Le produit avait été annoncé lors de la JNUC 2024 et dispose déjà d’un historique de versions sur macOS. L’article publié par Jamf le 14 juillet 2026 ne correspond donc pas au lancement d’une application totalement nouvelle ; il présente la trajectoire unifiée de Jamf sur Mac et mobile et précise la place des fonctions de sécurité, d’identité et de notification.

Cette nuance compte. Self Service+ ne remplace pas Jamf Pro et n’est pas un MDM. Dans la gestion MDM d’un parc, Jamf Pro enrôle les appareils, applique les profils, distribue les configurations et exécute les règles. Self Service+ en est la porte d’entrée visible pour les collaborateurs, avec des actions volontairement exposées par l’administrateur.

Autrement dit, l’utilisateur ne choisit pas librement dans tout Internet. Il choisit dans un périmètre que l’entreprise a validé.

Le premier usage reste le plus concret : permettre à un salarié d’installer lui-même une application approuvée, un profil ou une ressource sans attendre une intervention manuelle. Le portail peut reprendre le logo, des bannières et des messages de l’entreprise. Modifier aussi son nom et son icône depuis Jamf Pro demande Jamf Pro 11.25 ou une version ultérieure, Self Service+ 2.15 au minimum et le déploiement automatique. Cette identité visuelle aide à distinguer l’outil officiel d’un catalogue public ou d’une demande douteuse.

Le bénéfice dépend toutefois de ce que l’IT place derrière chaque bouton. Une application doit avoir un propriétaire, une population cible, une méthode d’installation, une règle de mise à jour et une date de retrait. Sans cette discipline, les anciennes versions, doublons et logiciels devenus inutiles s’accumulent rapidement.

Jamf met en avant un onglet consacré aux mises à jour et la possibilité d’expliquer pourquoi une nouvelle version est importante. C’est une bonne approche : un message comme « mise à jour requise pour corriger une faille exploitée » est plus utile qu’une notification générique demandant de redémarrer sans contexte.

Mais le libre-service n’est qu’un canal dans le cycle de vie des applications sur macOS. Une entreprise peut laisser une période de choix à l’utilisateur, puis rendre la mise à jour obligatoire à une échéance définie. Pour un navigateur, un outil de visioconférence ou un agent de sécurité, attendre indéfiniment que chacun clique serait une politique de patching, pas une stratégie de sécurité.

Sur macOS, la page d’accueil peut afficher l’état de sécurité remonté par Jamf Protect. Pour la version mobile annoncée, Jamf décrit des alertes relatives aux domaines de phishing, aux réseaux non sûrs, aux activités malveillantes ou aux applications risquées. Ces capacités de sécurité demandent un profil d’activation utilisant Jamf Security Cloud. Les notifications issues des produits Jamf intégrés doivent alors être regroupées dans un même espace.

Cette visibilité peut aider un utilisateur à comprendre qu’un appareil demande une action. Elle ne transforme pas Self Service+ en outil de détection autonome. Le portail affiche des informations produites par les briques de sécurité présentes et configurées dans l’environnement. Il faut donc vérifier le produit requis, la licence, la politique et le traitement prévu avant de promettre une fonction aux équipes.

Avec Jamf Connect, Self Service+ peut regrouper la synchronisation du mot de passe local avec l’identité cloud, l’authentification Kerberos, certaines informations de compte et les demandes d’élévation temporaire de privilèges.

La centralisation est pratique, mais elle rend la gouvernance des droits encore plus importante. Une élévation locale ne devrait pas être un bouton sans règle : il faut définir qui peut la demander, pour combien de temps, avec quelle justification, quels journaux et quelle revue en cas d’usage répété.

L’annonce indique que Self Service+ est disponible pour les clients Jamf Pro. Cette phrase ne suffit pas à décrire les droits contractuels d’un tenant et ne signifie pas que toutes les capacités de Jamf Protect ou Jamf Connect sont incluses avec la seule licence Jamf Pro.

Cette lecture par capacité évite une erreur fréquente dans les projets SaaS : concevoir l’expérience cible à partir d’une capture d’écran, puis découvrir trop tard qu’une licence, une version ou une configuration manque.

Un portail utile repose sur une répartition explicite des responsabilités. L’utilisateur peut déclencher une action autorisée ; l’IT conserve la définition du catalogue, les règles de sécurité, les échéances et l’observation des échecs. Cette articulation fait partie de la gestion opérationnelle du parc informatique, au même titre que l’inventaire, l’onboarding, l’offboarding et le support.

Trois règles permettent d’éviter la plupart des déceptions.

Premièrement, chaque élément du catalogue doit répondre à une demande réelle. Si une application nécessite toujours un ticket séparé pour obtenir sa licence ou son accès, la fiche doit l’indiquer avant l’installation.

Deuxièmement, les messages doivent être actionnables. Une notification doit dire ce qui est attendu, avant quelle date et où obtenir de l’aide. Trop de messages finissent par produire le même effet qu’aucun message : ils sont ignorés.

Troisièmement, les actions sensibles ne doivent jamais dépendre uniquement de la bonne volonté de l’utilisateur. Le chiffrement, l’agent de sécurité, les versions minimales et les correctifs critiques restent des politiques d’entreprise.

Pour macOS, la documentation Jamf propose deux méthodes de déploiement. Le choix n’est pas seulement technique.

Le déploiement automatique définit Self Service+ comme application utilisateur par défaut. Sur les Mac équipés de macOS 13 ou d’une version ultérieure, Self Service classic est alors retiré. Si un profil Jamf Connect compatible est détecté, les configurations de synchronisation de mot de passe et d’élévation peuvent être reprises dans Self Service+, et l’ancienne application Jamf Connect de barre des menus peut être désinstallée.

Le déploiement par politique permet de cibler un groupe de Mac et de conserver temporairement Self Service classic sur la même machine. C’est la méthode la plus prudente pour un pilote, notamment si l’environnement utilise des politiques historiques, des liens profonds ou des fonctions qui n’ont pas encore été validées dans Self Service+.

La coexistence a elle aussi une limite : Jamf prévient que certains schémas d’URL peuvent ouvrir l’application classic plutôt que Self Service+. La documentation signale également une prise en charge encore partielle de fonctions d’accessibilité comme VoiceOver ou Full Keyboard Access. Ces points doivent faire partie des tests, en particulier si des collaborateurs dépendent de ces fonctions au quotidien.

Enfin, Self Service+ ne remplace pas le socle Apple Business Manager. L’enrôlement automatisé, le rattachement des appareils et la distribution des apps restent des briques amont. Le portail intervient une fois que l’appareil, l’utilisateur et les règles de gestion sont correctement reliés.

Le pilote doit également vérifier les flux réseau. Les domaines packages.soup.services.jamfcloud.com sont nécessaires aux mises à jour automatiques de Self Service+. Les domaines LaunchDarkly servent à activer certaines fonctions en développement et nom.telemetrydeck.com à collecter des statistiques d’usage anonymisées. L’application peut fonctionner sans ces deux derniers services, avec des capacités associées limitées, mais la liste d’autorisation réseau doit être décidée et documentée plutôt que découverte après le déploiement.

Recenser les versions de macOS, de Jamf Pro et de Jamf Connect, les usages de Self Service classic, les politiques publiées, les liens URL, les personnalisations, les besoins d’accessibilité, les groupes d’appareils et les règles de filtrage réseau. Sur mobile, attendre la disponibilité effective dans l’App Store, puis vérifier le seuil iOS 17 ou iPadOS 17, les réglages de mise à jour automatique et le calendrier du déploiement progressif.

Pour chaque fonction attendue, indiquer si elle relève de Jamf Pro, Jamf Protect ou Jamf Connect. Cette matrice doit être validée sur le tenant et le contrat réels, surtout pour les fonctions mobiles de sécurité.

Supprimer les doublons, revoir les descriptions, vérifier les packages, identifier les propriétaires et tester les scénarios d’échec. Une nouvelle interface ne corrige pas un catalogue obsolète.

Inclure plusieurs métiers, types de Mac, versions de macOS, applications métier et profils d’usage. Le pilote doit aussi couvrir Jamf Connect, les droits temporaires, les notifications, les flux réseau et les fonctions d’accessibilité lorsqu’elles sont utilisées. Le pilote mobile ne peut commencer qu’une fois l’application effectivement disponible pour les appareils concernés.

Comparer avant et après : volume de tickets d’installation, temps de préparation d’un poste, réussite des politiques, adoption des mises à jour avant échéance et demandes d’élévation. Une baisse sur un type de ticket peut masquer une hausse des erreurs incomprises ; les deux doivent être observées.

Déployer groupe par groupe, publier une communication courte, garder une procédure d’assistance et définir les conditions d’arrêt. Le passage automatique à l’ensemble du parc ne devrait intervenir qu’après validation des parcours critiques.

Le bon signal n’est pas la date de l’annonce, mais la maturité de l’environnement Jamf.

Sur Mac, le passage est pertinent si le parc utilise des versions compatibles, si le catalogue actuel est maintenu, si les fonctions Protect et Connect sont clairement identifiées et si un groupe pilote peut tester les vrais parcours. L’interface unifiée peut alors apporter une expérience plus cohérente et réduire les interventions manuelles sur les demandes répétitives. Sur iPhone et iPad, la décision opérationnelle doit attendre la disponibilité effective de l’application, annoncée au plus tôt pour le 20 juillet 2026 sous réserve d’approbation Apple.

Il faut d’abord préparer le terrain si Self Service classic contient de nombreuses politiques non documentées, si des Mac plus anciens restent en production, si Jamf Connect porte des réglages sensibles ou si personne ne sait qui arbitre les applications publiées. Dans ce cas, la migration est surtout l’occasion de remettre à plat le service.

Self Service+ ne supprime donc pas le travail d’administration. Il le rend plus visible : catalogue, identité, sécurité et support se retrouvent face à l’utilisateur dans un même endroit. C’est précisément pour cette raison que la gouvernance doit précéder le déploiement.

BoucheCousue accompagne les entreprises pour auditer un environnement existant, cadrer le catalogue, relier Jamf Pro, Protect et Connect, organiser le pilote et documenter l’exploitation. Retrouvez notre accompagnement Jamf pour les flottes Apple ou contactez-nous pour préparer votre migration.