Verrouillage MDM et Autopilot : libérer ses PC avant la revente

Verrouillage MDM : pourquoi un PC encore géré perd sa valeur

Un MDM (mobile device management) est un outil qui permet à une organisation d'inscrire ses appareils, de leur appliquer ses réglages et de leur envoyer des commandes à distance. Microsoft Intune et Workspace ONE (Omnissa) en sont deux exemples. Tant qu'un PC figure dans la console, il reste sous le contrôle de l'organisation.

Windows Autopilot est un service de Microsoft qui rattache un PC au tenant d'une organisation, c'est-à-dire à son espace Microsoft Entra, pour qu'il se configure seul au premier démarrage. L'enregistrement associe le hash matériel du PC (fabricant, modèle, numéro de série, numéro de série du disque) à l'identifiant du tenant. Microsoft indique qu'il est idéalement réalisé par le constructeur, le revendeur ou le distributeur : un parc peut donc être enregistré sans que chaque poste soit passé entre les mains du service informatique.

Cet enregistrement vit chez Microsoft, pas sur le disque. Pendant l'installation de Windows, un PC connecté à Internet contacte le service Autopilot à chaque démarrage et télécharge le profil de son tenant. Un utilisateur d'une autre organisation reçoit alors une erreur et doit recommencer (Microsoft Learn, 2026). Le repreneur, de son côté, ne peut pas l'enregistrer dans son propre tenant.

Un portable dans cet état n'est pas reconditionnable : il est coté pour ses pièces tant que le verrou n'est pas levé. C'est pourquoi le rachat de PC portables d'entreprise suppose que les machines soient sorties de la gestion de l'organisation avant l'enlèvement.

Intune, Workspace ONE : retirer l'appareil du MDM

Retirer un appareil d'Intune ou d'un autre MDM est la première étape, car Microsoft demande de supprimer un PC d'Intune avant de le désinscrire d'Autopilot. Les consoles proposent plusieurs actions, qui n'ont pas le même effet :

Dans Intune, la suppression d'un PC Windows déclenche toujours un retrait. Microsoft précise qu'un statut « Terminé » ne confirme que la partie serveur : le retrait s'exécute sur le poste à son prochain contact. Lancez donc l'action pendant que les machines sont encore allumées et connectées.

Dans Workspace ONE UEM, les actions disponibles dépendent du type d'inscription : Omnissa précise par exemple que l'Enterprise Wipe n'est pas pris en charge pour les PC Windows joints à un domaine cloud. Avec un autre MDM, cherchez l'équivalent : une désinscription suivie d'une suppression.

Autopilot : supprimer l'enregistrement de l'appareil

Supprimer un appareil d'Autopilot est l'étape qui libère réellement un PC Windows, quel que soit le MDM utilisé. La procédure de Microsoft se déroule entièrement dans la console :

1. supprimer l'appareil d'Intune, en notant son numéro de série ;
2. ouvrir la liste des appareils Windows Autopilot, dans la rubrique Inscription du centre d'administration Intune ;
3. retrouver le PC par son numéro de série, retirer l'utilisateur affecté s'il y en a un ;
4. sélectionner Supprimer, confirmer, puis actualiser jusqu'à la disparition de la ligne.

Sans Intune, la suppression se fait dans le centre d'administration Microsoft 365, rubrique Autopilot. Pour un PC en jonction hybride, Microsoft demande aussi de supprimer l'objet ordinateur de l'Active Directory local. Il déconseille en revanche de supprimer l'appareil à la main dans Microsoft Entra ID : sauter une étape ou changer l'ordre peut laisser des enregistrements orphelins.

L'association d'appareil est une fonction de Windows Autopilot device preparation qui inscrit l'affinité avec le tenant dans le firmware UEFI du PC. Microsoft précise que la supprimer de la liste d'Intune ne suffit pas : l'association doit d'abord être effacée sur le poste lui-même, une fois l'appareil désinscrit du MDM (Microsoft Learn, septembre 2026). Cette étape se fait donc avant le départ des machines.

Faire le point sur tout un lot avant l'enlèvement

Faire le point sur un lot consiste à rapprocher la liste des numéros de série cédés de chaque console. Le point de départ est l'inventaire du parc, dont notre modèle d'inventaire de parc informatique prévoit déjà une colonne « verrous retirés ».

Sur un gros parc, l'API Microsoft Graph liste les appareils Autopilot avec leur numéro de série, leur état d'inscription et leur dernier contact. Les actions sont plafonnées par tenant et par jour :

Un lot de plusieurs milliers de postes se traite donc sur plusieurs jours, avant la date d'enlèvement.

La procédure en six étapes avant l'enlèvement

La procédure de libération d'un lot de PC tient en six étapes, dans cet ordre, toutes réalisées par l'organisation propriétaire.

1. Lister les numéros de série du lot. Partez de l'inventaire des PC cédés : le numéro de série sert de clé dans Intune, dans Autopilot et dans les autres consoles.
2. Sauvegarder les clés utiles. Avant un retrait ou une suppression, Microsoft recommande de conserver la clé de récupération BitLocker et les identifiants d'administration locale des postes concernés.
3. Supprimer les appareils d'Intune ou du MDM. Supprimez chaque appareil de la console de gestion, de préférence pendant qu'il est encore allumé et connecté, pour que le retrait s'exécute aussi sur le poste.
4. Désinscrire les appareils de Windows Autopilot. Dans la liste des appareils Windows Autopilot, retrouvez chaque PC par son numéro de série, retirez l'utilisateur affecté s'il y en a un, puis supprimez l'appareil.
5. Lever l'association d'appareil le cas échéant. Pour un PC associé au tenant, effacez l'association sur le poste lui-même, puis supprimez-le de la liste d'Intune, avant son départ.
6. Contrôler et documenter. Vérifiez qu'aucun numéro de série du lot n'apparaît plus dans les consoles, puis indiquez « verrous retirés » dans l'inventaire transmis au repreneur.

Une réinitialisation à distance (Wipe) peut compléter la procédure, mais elle ne remplace pas un effacement documenté selon la norme NIST SP 800-88, décrit sur la page sécurité et effacement des données.

Et si la désinscription n'est pas faite avant l'enlèvement

Une désinscription oubliée se rattrape le plus souvent après l'enlèvement, car la procédure de Microsoft ne demande pas l'appareil : l'administrateur supprime les PC d'Intune puis d'Autopilot à partir de leurs numéros de série. Il suffit que le repreneur lui transmette la liste des machines encore rattachées.

Deux cas sont plus lourds. L'association d'appareil, inscrite dans le firmware, demande une intervention sur le poste. Et si l'organisation n'a plus accès à son tenant, seul le support Microsoft peut supprimer l'enregistrement : il exige une preuve de propriété originale qui mentionne le numéro de série de l'appareil et le nom de l'entreprise (Microsoft Learn, 2026). Une attestation de cession listant les numéros de série facilite cette démarche.

Entre-temps, le PC est coté pour ses pièces. Dès que le verrou est levé, il redevient revendable, avec les autres facteurs détaillés dans la fiche sur le prix de rachat d'un PC portable.

Les autres verrous à lever en même temps

Le MDM et Autopilot ne sont pas les seuls verrous d'un poste d'entreprise. Deux autres se vérifient lors du même passage :

• Le mot de passe BIOS ou UEFI et les antivols intégrés au firmware, traités dans la fiche BIOS verrouillé et revente des PC.
• Les Mac, liés à Apple Business et à l'Activation Lock : voir comment libérer ses Mac d'entreprise avant cession.

Dans l'atelier de Destock Info à Veurey-Voroize, près de Grenoble, l'absence de gestion MDM et de mot de passe BIOS fait partie des 50 points de contrôle de l'audit. Chaque disque est ensuite effacé selon la norme NIST SP 800-88, avec un certificat par équipement.

À retenir

Sources

• Windows Autopilot registration overview : deregister a device Microsoft Learn, 2026
• Windows Autopilot troubleshooting FAQ Microsoft Learn, 2026
• Troubleshoot error 806 or 808 when importing Windows Autopilot CSV files Microsoft Learn, mars 2026
• Device action : Delete Microsoft Learn, août 2026
• Device action : Retire Microsoft Learn, août 2026
• Wipe devices with Microsoft Intune Microsoft Learn, septembre 2026
• windowsAutopilotDeviceIdentity resource type (Microsoft Graph) Microsoft Learn
• Overview of Windows Autopilot device association Microsoft Learn, août 2026
• Remove a Windows Autopilot device association Microsoft Learn, septembre 2026
• Workspace ONE UEM : Device Actions Omnissa
• Guidelines for Media Sanitization, SP 800-88 Rev. 2 NIST, septembre 2025