Politiques

Les politiques définissent quelles vérifications d'appareil comptent pour votre organisation et comment XFA doit réagir lorsqu'un appareil ne les réussit pas. Utilisez les politiques pour fixer des objectifs, avertir les utilisateurs, bloquer l'accès là où c'est nécessaire et garder des décisions de sécurité des appareils cohérentes entre les applications, sans modifier l'appareil de l'utilisateur à sa place.

Vous pouvez adapter ces règles vous-même et y ajouter des intégrations Enforcement, afin que les appareils respectent les normes de sécurité de votre organisation.

remarque

Les vérifications disponibles dépendent de votre abonnement. La confidentialité du navigateur (Chrome Do Not Track, DNS via HTTPS et les vérifications Firefox), le DNS, les vérifications d'accès à distance du système d'exploitation (partage d'écran, scripts à distance, gestion à distance et connexion à distance) et les vérifications de gestion des appareils (Intune et Vanta) nécessitent chacune un abonnement qui les inclut. Les vérifications hors abonnement sont grisées et proposent une mise à niveau.

Objectifs de conformité

Chaque vérification de sécurité d'une politique se configure avec un système de conformité à trois niveaux :

Définir votre objectif de conformité : déterminez la période dans laquelle les appareils devraient devenir conformes (par exemple 30, 60 ou 90 jours). Cet objectif n'est visible que par les administrateurs et sert de base au calendrier des avertissements et des blocages.
Avertir les utilisateurs : déterminez quand les utilisateurs sont informés d'un risque de sécurité sur leur appareil. Pour les vérifications basées sur une version (comme celle du système d'exploitation ou du navigateur), vous pouvez choisir :
- Avant l'objectif de conformité : avertissez les utilisateurs un nombre de jours défini avant que l'objectif ne soit atteint.
- À la date d'échéance de conformité : avertissez les utilisateurs lorsque l'objectif est atteint.
Bloquer un appareil : déterminez quand un appareil non conforme se voit refuser l'accès. Vous disposez des mêmes options de calendrier :
- Avant l'objectif de conformité : bloquez l'appareil un nombre de jours défini avant l'objectif.
- À la date d'échéance de conformité : bloquez l'appareil lorsque l'objectif est atteint.

Pour les vérifications binaires (comme le chiffrement du disque ou le verrouillage de l'écran), l'avertissement ou le blocage prend effet immédiatement dès que l'appareil n'est pas conforme.

✅ Vérifications de sécurité disponibles

Une politique peut inclure les vérifications suivantes :

Ajouter les appareils à l'organisation
- Lorsque cette option est activée, les appareils sont ajoutés à l'organisation et y sont signalés.
Autoriser les utilisateurs à ignorer la vérification de l'appareil
- Les utilisateurs peuvent ignorer la vérification d'appareil et accéder quand même à l'application.
Autoriser les appareils non pris en charge à accéder à l'application
- Les appareils que XFA ne prend pas en charge peuvent quand même accéder à l'application.
Vérifier la version du système d'exploitation
- XFA vérifie la version du système d'exploitation de chaque appareil. Définissez un objectif de conformité qui fixe le retard admis pour cette version, et déterminez quand avertir ou bloquer les utilisateurs.
- Options supplémentaires :
  - Autoriser ou refuser certaines versions bêta.
  - Autoriser ou refuser des versions majeures plus anciennes qui sont encore prises en charge.
Vérifier le paramètre de mise à jour automatique du système d'exploitation
- XFA vérifie si les mises à jour automatiques sont activées sur les appareils. Vous pouvez avertir ou bloquer les utilisateurs chez qui elles sont désactivées. Sous Linux, cela s'applique à Debian, Ubuntu et NixOS.
Vérifier la version du navigateur
- XFA vérifie la version du navigateur de chaque appareil. Définissez un objectif de conformité qui fixe le retard admis pour cette version, et déterminez quand avertir ou bloquer les utilisateurs.
- Options supplémentaires :
  - Autoriser ou refuser certaines versions bêta.
  - Autoriser ou refuser des versions majeures plus anciennes qui sont encore prises en charge.
- Vérifications de confidentialité du navigateur. Quand XFA les a activées pour votre organisation, les paramètres des navigateurs vous permettent aussi d'exiger Chrome Safe Browsing, Navigation sécurisée renforcée de Chrome, Chrome Do Not Track, Chrome DNS via HTTPS, Mode HTTPS uniquement de Firefox, Firefox DNS via HTTPS, Protection renforcée contre le pistage de Firefox et Protection renforcée contre le pistage de Firefox (Stricte). Elles ne sont pas affichées par défaut.
- Les sections Chrome et Firefox nécessitent aussi que XFA active la navigation sécurisée pour votre organisation. Les vérifications de confidentialité exigent en plus un abonnement incluant la confidentialité du navigateur.
Vérifier le chiffrement du disque
- Les appareils sans chiffrement du disque déclenchent des avertissements ou peuvent être bloqués, selon vos paramètres.
- XFA reconnaît les méthodes de chiffrement intégral du disque prises en charge sur chaque plateforme :
  - Windows : BitLocker (y compris le mode BitLocker Device Encryption géré par le système d'exploitation sur le matériel compatible) et le chiffrement VeraCrypt du disque système.
  - macOS : FileVault.
  - Linux : les systèmes de fichiers racine chiffrés avec LUKS, et les disques autochiffrants TCG OPAL lorsque le verrouillage du disque côté système d'exploitation est activé.
- Remarques sur ce qui ne peut pas toujours être confirmé :
  - OPAL et SED sous Linux sont détectés via sedutil-cli, qui interroge le disque depuis le système d'exploitation en cours d'exécution. Les disques entièrement déverrouillés par le BIOS ou l'UEFI avant le démarrage de Linux (déverrouillage avant le démarrage, sans reprise côté système d'exploitation) ne peuvent pas être inspectés depuis l'espace utilisateur et peuvent être signalés comme non conformes. Dans ce cas, ajoutez LUKS par-dessus ou excluez l'appareil de la politique.
  - VeraCrypt sous Windows n'est détecté que lorsqu'il chiffre le disque système (de démarrage) de Windows. Les conteneurs de fichiers et les partitions non systèmes chiffrés avec VeraCrypt ne sont pas détectés pour le moment, car ils laissent le disque du système d'exploitation non chiffré.
Vérifier le verrouillage de l'écran
- XFA vérifie si le verrouillage de l'écran est activé sur les appareils et permet d'avertir ou de bloquer les utilisateurs qui ne l'ont pas.
- Vous pouvez aussi fixer la rapidité avec laquelle un appareil doit se verrouiller. Sous Délai maximal de verrouillage d'écran, choisissez 1, 5, 10, 15 ou 30 minutes. Un appareil qui met plus de temps à se verrouiller échoue à la vérification.
- Laissé sur Pas encore configuré, n'importe quel délai est accepté du moment qu'un verrouillage de l'écran est défini.
Vérifier l'antivirus
- Le système vérifie si un logiciel antivirus est actif sur l'appareil, avec la possibilité d'avertir ou de bloquer les utilisateurs qui n'en ont pas.
- XFA n'exige aucun éditeur en particulier. Il lit l'état de la protection antimalware que le système d'exploitation lui-même rapporte :
  - Windows : tous les produits enregistrés auprès du Windows Security Center, ce qui couvre les antivirus tiers comme ESET, Norton, Bitdefender et Kaspersky, et pas seulement Microsoft Defender. XFA rapporte le nom du produit affiché dans Sécurité Windows, si sa protection en temps réel est activée et si ses signatures sont à jour.
  - macOS : XProtect, intégré par Apple, livré avec macOS et actif par défaut.
  - Linux : ClamAV et Microsoft Defender for Endpoint.
- Ce qui compte comme réussite diffère selon la plateforme :
  - Windows : la protection en temps réel doit être activée. L'actualité des définitions est lue et affichée dans l'application XFA sur l'appareil, mais ne fait pas échouer la vérification à elle seule.
  - Linux : l'antivirus doit être en cours d'exécution et ses définitions doivent être à jour (mises à jour au cours des 48 dernières heures pour ClamAV, et des 7 derniers jours pour Microsoft Defender for Endpoint). Des définitions périmées font échouer la vérification.
  - macOS : XProtect doit être actif. macOS n'expose pas d'âge de signature distinct que XFA pourrait mesurer.
- L'état de sécurité que XFA rapporte à votre organisation est de savoir si une protection antimalware est active. Le nom du produit et l'actualité des définitions sont montrés à l'utilisateur dans l'application XFA sur son propre appareil ; ils ne font pas partie de l'état de sécurité affiché dans le tableau de bord.
- Remarques sur ce qui ne peut pas toujours être confirmé :
  - Windows avec un antivirus tiers garde Microsoft Defender enregistré à côté, en mode passif. C'est le comportement normal de Windows, pas une mauvaise configuration : XFA rapporte le produit qui protège réellement l'appareil.
  - Un antivirus tiers installé mais désactivé est signalé comme inactif sous son propre nom de produit, pour que l'utilisateur voie quel produit il doit réactiver.
  - macOS ne rapporte que XProtect. Un antivirus tiers sur macOS n'apparaît pas comme un produit distinct, car macOS n'a pas d'équivalent du Windows Security Center que XFA pourrait lire.
Vérifier le gestionnaire de mots de passe
- Vérifie que les utilisateurs ont un gestionnaire de mots de passe activé. Vous pouvez décider d'avertir ou de bloquer les utilisateurs qui ne sont pas conformes.
Vérifier l'authentification biométrique
- Obligez les utilisateurs à utiliser l'authentification biométrique sur leur appareil. Vous pouvez décider d'avertir ou de bloquer les utilisateurs qui ne sont pas conformes.
Vérifier le redémarrage de l'appareil
- Obligez les utilisateurs à redémarrer régulièrement leur appareil. Définissez un objectif de conformité qui fixe le nombre de jours pouvant s'écouler depuis le dernier redémarrage, et déterminez quand avertir ou bloquer les utilisateurs.
  
  Un redémarrage applique les mises à jour en attente et élimine les malwares qui s'exécutent en mémoire. Un appareil qui ne redémarre jamais peut rester sans correctifs et exposé pendant des semaines.
Vérifier Windows Recall
- XFA vérifie si Windows Recall est désactivé sur les appareils Windows, afin d'éviter que des données sensibles ne soient capturées et conservées. Vous pouvez décider d'avertir ou de bloquer les utilisateurs chez qui Windows Recall est activé.
Exiger l'installation de l'application native
- Exigez que l'application native soit installée (uniquement sur ordinateur, pour des informations de sécurité plus détaillées). Vous pouvez décider d'avertir ou de bloquer les utilisateurs qui ne sont pas conformes.
Autoriser les utilisateurs à ignorer le flux de token sur les appareils mobiles
- Les utilisateurs peuvent ignorer le flux de token sur les appareils mobiles et accéder quand même à l'application.
Autoriser les utilisateurs à ignorer le flux de token sur les appareils de bureau
- Les utilisateurs peuvent ignorer le flux de token sur les appareils de bureau et accéder quand même à l'application.
Autoriser la connexion Agentless
- Autorisez la connexion Agentless (les utilisateurs peuvent se faire vérifier sans installer l'agent XFA lorsque suffisamment d'informations sont disponibles). Vous pouvez décider d'avertir ou de bloquer les utilisateurs qui ne sont pas conformes.
- La connexion Agentless nécessite un abonnement XFA incluant Agentless.
Vérifier l'état du pare-feu
- Faites en sorte qu'un pare-feu soit activé pour bloquer les accès réseau non autorisés. Vous pouvez décider d'avertir ou de bloquer les utilisateurs qui ne sont pas conformes.
Vérifier le DNS
- Assurez une résolution DNS sûre en exigeant des serveurs DNS conformes, afin d'éviter le détournement DNS. Vous pouvez décider d'avertir ou de bloquer les utilisateurs qui ne sont pas conformes.
- Sous Serveurs DNS, ajoutez jusqu'à quatre adresses IP de serveurs DNS, en cliquant sur Ajouter après chacune.
- Sous Mode de validation, choisissez comment les serveurs DNS de l'appareil sont comparés à votre liste :
  - Correspondance exacte (par défaut) : les serveurs DNS de l'appareil correspondent exactement à votre liste.
  - Commencer par la liste exacte avec des serveurs supplémentaires ensuite : la liste de l'appareil commence par la vôtre et peut ajouter des serveurs après.
  - Contient : votre liste figure telle quelle dans la liste de l'appareil, et d'autres serveurs sont admis avant ou après.
- Windows et Linux placent les serveurs IPv6 avant les serveurs IPv4. Gardez-le en tête quand vous ordonnez la liste pour les deux premiers modes.
Vérifier le partage d'écran
- Faites en sorte que le partage d'écran soit désactivé pour éviter un accès à distance non autorisé. Vous pouvez décider d'avertir ou de bloquer les utilisateurs chez qui le partage d'écran est activé.
Vérifier le scripting à distance
- Faites en sorte que le scripting à distance soit désactivé pour éviter l'exécution de scripts potentiellement nuisibles. Vous pouvez décider d'avertir ou de bloquer les utilisateurs chez qui le scripting à distance est activé.
Vérifier la gestion à distance
- Faites en sorte que la gestion à distance soit désactivée pour éviter toute prise de contrôle non autorisée de l'appareil. Vous pouvez décider d'avertir ou de bloquer les utilisateurs chez qui la gestion à distance est activée.
Vérifier la connexion à distance
- Faites en sorte que la connexion à distance soit désactivée pour réduire le risque d'accès non autorisé. Vous pouvez décider d'avertir ou de bloquer les utilisateurs chez qui la connexion à distance est activée.
Vérifier l'accès à distance sans surveillance
- Détecte les outils de contrôle à distance tiers configurés pour un accès sans surveillance, comme TeamViewer, AnyDesk et Chrome Remote Desktop. L'accès sans surveillance permet à quelqu'un de se connecter à l'appareil sans que l'utilisateur l'approuve. XFA ne signale un appareil que lorsqu'il confirme l'accès sans surveillance. S'il ne peut pas le confirmer, l'appareil indique que la vérification n'a pas pu être confirmée, et l'appareil n'est pas compté comme conforme. Vous pouvez décider d'avertir (le comportement par défaut) ou de bloquer les utilisateurs chez qui il est activé. Cette vérification est distincte des vérifications intégrées au système d'exploitation ci-dessus. Elle n'apparaît que lorsque XFA l'a activée pour votre organisation. Voir ce que cette vérification signale.
Vérifier le jailbreak
- Évitez les vulnérabilités de sécurité en écartant les appareils jailbreakés, qui contournent les protections intégrées. Vous pouvez décider d'avertir ou de bloquer les utilisateurs dont l'appareil est jailbreaké.
Vérifier les appareils rootés
- Évitez les vulnérabilités de sécurité venant d'appareils Android rootés. Vous pouvez décider d'avertir ou de bloquer les utilisateurs dont l'appareil est rooté.
Vérifier le mode développeur
- Renforcez la sécurité de l'appareil en empêchant l'accès depuis des appareils dont le mode développeur est activé. Vous pouvez décider d'avertir ou de bloquer les utilisateurs chez qui le mode développeur est activé.
Vérifier Secure Boot
- Exigez que Secure Boot soit activé pour une sécurité renforcée. Vous pouvez décider d'avertir ou de bloquer les utilisateurs qui ne sont pas conformes.
Vérifier la Protection de l'intégrité
- Exigez que la Protection de l'intégrité soit activée pour une sécurité renforcée. Vous pouvez décider d'avertir ou de bloquer les utilisateurs qui ne sont pas conformes.
Vérifier les secrets dans l'environnement
- Détecte et empêche l'exposition de secrets dans les variables d'environnement ou dans le contexte d'exécution, afin de réduire le risque de fuite d'identifiants. Vous pouvez décider d'avertir ou de bloquer les utilisateurs chez qui des secrets sont détectés. En savoir plus sur ce que cette vérification détecte.
Vérifier les agents autonomes
- Détecte les agents autonomes et exige des mesures approuvées avant d'autoriser l'accès. Vous pouvez décider d'avertir ou de bloquer les utilisateurs chez qui des agents autonomes sont présents.
Vérifier l'élévation de privilèges non protégée
- Détecte et prévient l'élévation de privilèges non protégée, qui peut mener à des actions à privilèges élevés non autorisées. Vous pouvez décider d'avertir ou de bloquer les utilisateurs chez qui une élévation de privilèges non protégée est détectée.
Mode IA non sécurisé
- Détecte les configurations d'outils d'IA qui mettent l'appareil en danger. Vous pouvez décider d'avertir ou de bloquer les utilisateurs qui en ont une. Cette vérification ne s'exécute que sur les appareils de bureau.
- Les vérifications 30 à 33 sont en bêta. Elles sont regroupées dans l'onglet Vérifications IA de l'éditeur de politique, qui n'apparaît que lorsque XFA l'a activé pour votre organisation.
Vérifier l'inscription Intune
- Exigez que les appareils soient inscrits dans Microsoft Intune. Vous pouvez décider d'avertir ou de bloquer les utilisateurs qui ne sont pas conformes.
- Pour n'accepter que certains tenants Intune, ajoutez leurs identifiants sous IDs de tenant. Laissez ce champ vide pour accepter n'importe quel tenant.
- Activez Autoriser l'enrôlement externe pour accepter aussi les appareils enrôlés dans des tenants que vous n'avez pas listés.
Client Vanta
- Exigez que l'agent Vanta soit installé et en cours d'exécution sur l'appareil. Vous pouvez décider d'avertir ou de bloquer les utilisateurs dont l'appareil ne l'exécute pas. Cette vérification se trouve dans la section Gestion des appareils de l'éditeur de politique, à côté d'Intune.
Vérifier Aikido Safe Chain
- Aikido Safe Chain vérifie que les paquets installés avec npm, pip, yarn, pnpm, bun et des outils similaires ne contiennent pas de logiciel malveillant avant leur exécution. Cette vérification n'apparaît que si la politique de votre organisation l'inclut. Elle n'est jamais affichée sur un appareil personnel.
- XFA vérifie sur macOS, Windows et Linux qu'Aikido Safe Chain est installé et actif dans le shell de l'utilisateur.
- Si la politique l'exige et qu'il manque, l'application XFA propose Installer. XFA télécharge et lance lui-même l'installateur d'Aikido, sans mot de passe administrateur. L'utilisateur redémarre son terminal pour terminer. L'application peut aussi le Désinstaller.
- Vous pouvez décider d'avertir ou de bloquer les utilisateurs dont l'appareil n'a pas Aikido Safe Chain actif.
Vérifier Aikido Device Protection
- Aikido Device Protection est l'agent d'Aikido pour l'appareil, qui protège le trafic réseau des outils de développement. Cette vérification n'apparaît que si la politique de votre organisation l'inclut. Elle n'est jamais affichée sur un appareil personnel.
- Saisissez le jeton d'enregistrement Aikido de votre organisation (il commence par AIK_) dans le paramètre Aikido Device Protection de la politique. Sans ce jeton, l'application XFA ne peut pas l'installer.
- XFA vérifie sur macOS que l'extension système d'Aikido est active, et sur Windows et Linux que le paquet Aikido est installé et que son service tourne. L'application affiche l'un de trois états : doit être installé, doit être activé (macOS uniquement) ou est actif.
- Si la politique l'exige et qu'il manque, l'application XFA propose Installer. Le système d'exploitation demande un mot de passe administrateur. Sur macOS, l'utilisateur approuve aussi l'extension système d'Aikido dans la fenêtre de configuration d'Aikido qui s'ouvre ; XFA le guide et vérifie à nouveau. Si cette fenêtre a été fermée, la ligne propose Réinstaller pour activer. Windows et Linux ne demandent aucune étape supplémentaire. Une installation entièrement silencieuse sur macOS n'est possible que via votre MDM avec le profil de configuration d'Aikido.
- L'application peut aussi le Désinstaller (mot de passe administrateur). Cela retire aussi le certificat racine de confiance d'Aikido et les réglages de certificat qu'Aikido ajoute pour curl, pip, npm, gem et cargo. Sur macOS, un redémarrage termine la suppression de l'extension.
- Vous pouvez décider d'avertir ou de bloquer les utilisateurs dont l'appareil n'a pas Aikido Device Protection actif.
Vérifier la sécurité des applications
- Vérifie la signature de code des applications installées. Six politiques, une par type de problème de signature : les applications sans signature, les applications altérées, les applications au certificat révoqué, les applications d'un développeur inconnu, les applications dont le développeur a sauté la vérification anti-malware d'Apple et les applications auto-signées. Vous pouvez décider pour chacune d'avertir ou de bloquer les utilisateurs. Voir Sécurité des applications.
Vérifier la protection à l'installation
- Vérifie que le système d'exploitation vérifie les applications avant leur lancement : Gatekeeper sur macOS, SmartScreen sur Windows. Vous pouvez décider d'avertir ou de bloquer les utilisateurs chez qui cette protection est désactivée. Voir Protection à l'installation.
Vérifier les catégories d'apps à risque
- Détecte les applications installées qui relèvent des catégories d'apps à risque que vous activez, par exemple les applications de minage de cryptomonnaie, les outils de piratage et de tests de sécurité ou les applications VPN. Chaque catégorie est une politique à part, et vous pouvez décider pour chacune d'avertir ou de bloquer les utilisateurs. Voir Catégories d’apps à risque.

Pages des vérifications d'appareil

Certaines vérifications ont leur propre page, avec tout le détail : ce que XFA regarde sur chaque système d'exploitation, ce qui quitte l'appareil, ce que voit l'utilisateur et ce que vous pouvez configurer. De nouvelles vérifications reçoivent une page au fil du temps, donc ce tableau s'allonge.

Vérification d'appareil	Ce qu'elle vérifie	Plateformes
Sécurité des applications	La signature de code des applications installées sur l'appareil.	macOS, Windows
Protection à l'installation	Que le système d'exploitation vérifie les applications avant leur lancement.	macOS, Windows
Catégories d’apps à risque	Si des applications installées relèvent de catégories d'apps à risque que vous avez activées.	macOS, Windows, Linux

Toutes les autres vérifications de la liste ci-dessus fonctionnent de la même façon : vous choisissez un objectif de conformité, un moment pour avertir et un moment pour bloquer.

Intégrations Enforcement

Vous pouvez utiliser cette politique avec des intégrations Enforcement comme Microsoft, Google et Okta. Au moment de la connexion, XFA applique la décision de politique configurée. Selon ses réglages d'avertissement, de blocage et de contournement, les utilisateurs peuvent être avertis ou bloqués lorsqu'un appareil ne respecte pas la politique.

Pour modifier ou appliquer ces règles, ouvrez votre tableau de bord et configurez les paramètres d'Enforcement selon les besoins de votre organisation.

Pour plus de détails sur Enforcement, consultez notre documentation Enforcement.