Protection contre la réinitialisation d'usine sur les appareils Android d'entreprise : comptes FRP, effacements et appareils bloqués

Un appareil de terrain revient au dépôt. Quelqu'un le réinitialise depuis le mode de récupération pour le préparer pour le travailleur suivant. Au redémarrage, l'assistant de configuration demande un compte Google qui était précédemment configuré sur l'appareil. Personne ne sait de quel compte il s'agit, et le téléphone est désormais inutilisable.

Le mécanisme qui bloque votre matériel restitué est la protection Factory Reset Protection (FRP). C'est également ce qui rend un téléphone d'entreprise volé inutile pour le voleur. Vous ne voulez pas désactiver le FRP. Vous voulez décider à l'avance quel compte déverrouille vos appareils, et vous voulez choisir, effacement par effacement, si le FRP reste activé.

Ce tutoriel couvre six étapes :

1. Configurer des comptes administrateur FRP dédiés.
2. Appliquer ces comptes par stratégie.
3. Choisir le bon type d'effacement pour chaque situation.
4. Configurer le comportement du FRP pour les effacements automatiques de mise en conformité.
5. Mettre en place un processus de retour d'appareil qui évite les blocages.
6. Gérer un appareil déjà verrouillé.

Avertissement : Ce guide n'inclut aucune étape de contournement du FRP et n'en inclura jamais. Si un appareil est verrouillé, les méthodes de récupération légitimes sont présentées à l'étape 6.

Avant de commencer

Assurez-vous de disposer des éléments suivants :

• Des appareils appartenant à l'entreprise enrôlés en mode entièrement géré, ou appartenant à l'entreprise avec un profil professionnel. Vous pouvez les enrôler via zero-touch, Samsung Knox Mobile Enrollment ou par code QR.
• Un accès administrateur à votre console MDM, avec les droits nécessaires pour modifier les stratégies et envoyer des commandes d'effacement.
• Un coffre-fort de mots de passe partagé par votre équipe informatique.
• Un appareil de test de réserve que vous êtes prêt à réinitialiser plusieurs fois.

Remarque : Les comptes FRP d'entreprise ne s'appliquent pas aux appareils personnels dotés uniquement d'un profil professionnel (BYOD). Sur ces appareils, le FRP reste lié au compte Google personnel du propriétaire, et vous n'avez aucune raison de le contrôler.

Comportement du FRP sur un appareil d'entreprise

Google a introduit le FRP avec Android 5.1. Son rôle est simple. Après certaines réinitialisations, l'appareil ne termine la configuration que si quelqu'un se connecte avec un compte Google autorisé.

Ce qui le déclenche. Le FRP est principalement appliqué après une réinitialisation « non approuvée ». Un exemple classique est une réinitialisation lancée depuis le mode de récupération, où personne n'a prouvé sa connaissance du verrouillage de l'écran. Une réinitialisation lancée depuis les Paramètres par une personne qui connaît le verrouillage ne déclenche généralement pas le FRP. Le comportement exact a évolué selon les versions d'Android et les fabricants, testez-le donc sur vos propres modèles avant de vous y fier.

Quel compte le déverrouille. Sur un téléphone grand public, FRP demande le dernier compte Google synchronisé sur l'appareil. Les appareils gérés fonctionnent autrement : la politique de l'appareil peut désigner des comptes administrateur précis pour la protection contre la réinitialisation d'usine. Dans l'Android Management API, c'est le champ frpAdminEmails. Google le documente ainsi : après une réinitialisation, l'un des administrateurs listés doit se connecter pour déverrouiller l'appareil. Si aucun administrateur n'est listé, l'appareil n'offrira pas de protection contre la réinitialisation d'usine.

Comment les effacements à distance interagissent avec elle. Un effacement envoyé depuis votre console peut conserver ou supprimer les données de protection contre la réinitialisation. Dans l'Android Management API, c'est l'option PRESERVE_RESET_PROTECTION_DATA qui le contrôle. Si les données sont conservées, FRP peut s'appliquer après l'effacement. Si elles sont supprimées, l'appareil démarre sur un assistant de configuration vierge.

Pourquoi les voleurs le détestent. Un appareil réinitialisé qui réclame un compte inaccessible ne peut pas être configuré, utilisé ni facilement revendu. Mais cela ne fonctionne que si vous pouvez toujours y accéder.

Étape 1 : Créer des comptes administrateur FRP dédiés

Les comptes que vous listez ici sont les clés d'accès à chaque appareil réinitialisé de votre parc. Considérez-les comme des identifiants d'urgence.

1. Créez deux comptes Google appartenant au service informatique plutôt qu'à une personne, par exemple frp-admin-1@yourcompany.com et frp-admin-2@yourcompany.com. Utilisez des comptes Google Workspace ou des comptes Google standards gérés par le service informatique. En avoir deux vous offre une solution de repli si l'un d'eux est verrouillé ou suspendu.
2. Stockez les deux paires d'identifiants dans votre coffre-fort partagé, avec la journalisation des accès activée.
3. Si vous activez la validation en deux étapes, assurez-vous que le second facteur est accessible en permanence par votre équipe. Une clé de sécurité matérielle conservée au dépôt convient, tout comme une clé secrète d'application d'authentification enregistrée dans le coffre-fort. La personne qui déverrouillera un appareil devra fournir ce facteur lors de la configuration.
4. Vérifiez que chaque compte peut effectuer une connexion Google interactive normale, par exemple dans un navigateur sur votre ordinateur. N'ajoutez pas ces comptes à votre appareil de test : un compte synchronisé sur l'appareil pourrait le déverrouiller à lui seul et fausser le test de l'étape 2.

Avertissement : N'utilisez jamais le compte professionnel nominatif ou personnel d'un administrateur comme unique administrateur FRP. Si cette personne quitte l'entreprise ou que son compte est suspendu, tous les appareils réinitialisés qui en dépendent seront bloqués.

Remarque : Tous les types de comptes ne se comportent pas de la même façon face à l'invite FRP. Avant de déployer la configuration sur l'ensemble de votre parc, vérifiez que le type de compte choisi déverrouille bien vos modèles d'appareils en réalisant le test complet décrit à l'étape 2.

Résultat attendu : Vous disposez de deux comptes Google appartenant au service informatique, tous deux stockés dans le coffre-fort, tous deux fonctionnels pour la connexion, et dotés d'un second facteur accessible à votre équipe.

Étape 2 : Appliquer les comptes administrateur FRP par stratégie

1. Ouvrez la stratégie utilisée par les appareils de votre entreprise. Dans Nomid MDM, les comptes administrateur de la protection contre la réinitialisation d'usine se trouvent dans l'onglet Sécurité de la stratégie.
2. Ajoutez les deux adresses e-mail des administrateurs FRP et enregistrez la politique. Si vous utilisez plusieurs politiques, ajoutez les comptes à chaque politique de vos appareils d'entreprise. Vérifiez chaque politique en service, pas seulement un modèle, afin qu'aucun appareil n'en soit privé.
3. Si vous travaillez directement avec l'API Android Management, l'extrait de stratégie équivalent se présente ainsi :

{
  "frpAdminEmails": [
    "frp-admin-1@yourcompany.com",
    "frp-admin-2@yourcompany.com"
  ]
}

1. Consultez la liste des actifs pour confirmer que les appareils se sont synchronisés depuis la modification. Un appareil resté hors ligne conserve l'ancienne liste, ou aucune, jusqu'à sa synchronisation.
2. Préparez l'appareil de rechange pour le test. Inscrivez-le avec la même politique, ou une copie de test avec les mêmes administrateurs FRP, et ne lui ajoutez aucun compte Google. Vérifiez qu'il s'est synchronisé depuis la modification.
3. Testez la boucle complète. Envoyez à l'appareil de rechange un effacement qui conserve FRP. Lorsqu'il demande un compte, connectez-vous avec un compte administrateur FRP et vérifiez que la configuration se poursuit. Si le compte est refusé, consultez la FAQ de dépannage avant le déploiement.
4. Réinscrivez l'appareil de rechange après chaque test. L'effacement le retire de la gestion : il lui faut de nouveau votre configuration habituelle par code QR, zero-touch ou Knox Mobile Enrollment.

Résultat attendu : Chaque appareil d'entreprise a reçu une stratégie contenant deux administrateurs FRP, et vous avez validé sur du matériel réel que ces comptes déverrouillent un appareil réinitialisé.

Étape 3 : Choisir le bon type d'effacement pour chaque situation

C'est ici que la majorité des blocages sont soit évités, soit créés. Dans Nomid, la commande d'effacement conserve le FRP par défaut, et un commutateur permet de le supprimer. Faites un choix réfléchi chaque fois que vous utilisez ce commutateur.

Une règle simple couvre la plupart des cas : ne supprimez le FRP que lorsque l'appareil est physiquement entre les mains de l'équipe informatique. Dans tous les autres cas, conservez le FRP. Vos comptes administrateur FRP vous permettront de récupérer l'appareil s'il revient un jour.

Avertissement : Supprimer le FRP d'un appareil que vous n'avez pas en main met à la disposition de son détenteur un téléphone propre et revendable. Si vous n'êtes pas certain de l'endroit où se trouve l'appareil, conservez le FRP.

Résultat attendu : Votre équipe dispose d'une règle documentée indiquant quand activer le commutateur « supprimer le FRP », et les effacements d'appareils perdus ou volés conservent le paramètre par défaut.

Étape 4 : Configurer le FRP pour les effacements de mise en conformité

Les règles d'application de la politique peuvent effacer automatiquement un appareil qui reste non conforme. Exemple typique : un appareil qui ne respecte jamais la politique de mot de passe. Ces effacements ont lieu sans surveillance, généralement sur des appareils qui ne sont pas au dépôt. Ce sont donc des effacements défensifs. Avant de modifier ces règles, assurez-vous que l'étape 2 est terminée pour cette politique : un effacement automatique qui conserve FRP n'est sûr que si la liste des administrateurs FRP sur l'appareil est à jour.

1. Ouvrez les règles de mise en conformité au sein de votre stratégie.
2. Pour toute règle qui aboutit à un effacement, configurez-la pour conserver le FRP. Nomid prend en charge ce paramètre sur les règles de mise en conformité avec effacement.
3. Dans l'API Android Management, la règle ressemble à ceci :

{
  "policyEnforcementRules": [
    {
      "settingName": "passwordPolicies",
      "blockAction": { "blockAfterDays": 0 },
      "wipeAction": { "wipeAfterDays": 7, "preserveFrp": true }
    }
  ]
}

Résultat attendu : Les effacements automatiques maintiennent la protection des appareils, et le service informatique peut toujours les déverrouiller avec les comptes administrateur FRP.

Étape 5 : Appliquer la procédure de retour d'appareil

La plupart des blocages au dépôt surviennent parce qu'un appareil restitué a été réinitialisé localement au lieu d'être effacé depuis la console. Suivez cette séquence pour chaque appareil retourné.

1. Enregistrez le retour. Mettez à jour les champs d'affectation de l'appareil. L'historique d'affectation indique alors qui l'avait et quand il est revenu.
2. Allumez-le et connectez-le au Wi-Fi. Vérifiez qu'il apparaît comme vu récemment dans la console. Un effacement depuis la console n'atteint qu'un appareil en ligne et toujours inscrit. S'il n'apparaît jamais, vérifiez d'abord le Wi-Fi et la batterie. Ne le réinitialisez localement que si vous savez qu'il a reçu votre liste d'administrateurs FRP, puis déverrouillez-le avec un compte administrateur FRP comme à l'étape 6.
3. Récupérez ce qui doit être conservé, selon vos règles de conservation des données.
4. Envoyez un effacement depuis la console avec l'option "supprimer FRP" activée.
5. Observez le redémarrage. L'appareil doit arriver sur un assistant de configuration vierge, sans demande de vérification de compte.
6. Décidez de la suite :Redéploiement : laissez-le se réinscrire par zero-touch, Knox Mobile Enrollment ou code QR.
7. Revente, recyclage ou retour au loueur : retirez-le de votre portail zero-touch ou Knox Mobile Enrollment pour qu'il ne s'inscrive pas dans votre entreprise chez son prochain propriétaire.
8. Étiquetez l'appareil "FRP supprimé, vérifié", avec la date et vos initiales.

Avertissement : Ne réinitialisez pas les appareils restitués depuis le mode de récupération ou à l'aide de combinaisons de touches au dépôt. Il s'agit d'une réinitialisation non approuvée, et le FRP s'appliquera. Effectuez toujours l'effacement depuis la console tant que l'appareil est encore enrôlé.

Pour les méthodes générales de réinitialisation et ce que chacune efface, consultez notre guide de réinitialisation d'usine des appareils Android sur le blog Nomid.

Résultat attendu : Chaque appareil quitte le service informatique soit réenrôlé pour un nouvel employé, soit réinitialisé et supprimé de vos portails d'enrôlement. Aucun ne repart bloqué.

Étape 6 : Récupérer un appareil déjà verrouillé

Dès lors qu'un appareil a été réinitialisé, il n'est plus enrôlé. Aucune commande depuis la console ne peut l'atteindre. Examinez ces options dans l'ordre.

1. Essayez les comptes administrateur FRP. Si l'appareil a reçu une stratégie avec frpAdminEmails avant sa réinitialisation, la connexion avec l'un de ces comptes devrait le déverrouiller.
2. Essayez d'anciens comptes administrateur FRP. Si vous avez modifié la liste récemment, l'appareil conserve peut-être la version précédente. Essayez tous les comptes qui étaient répertoriés au moment où l'appareil a été vu pour la dernière fois.
3. Retrouvez l'utilisateur précédent. Si aucune liste d'administrateurs FRP n'a atteint l'appareil et que l'utilisateur précédent y a ajouté un compte Google, ce compte peut le déverrouiller. Consultez l'historique d'affectation, demandez à cette personne de venir au service informatique pour se connecter, et ne lui demandez jamais de vous envoyer son mot de passe.
4. Tenez compte des réinitialisations de mot de passe récentes. L'aide relative aux comptes Google conseille d'attendre un certain délai après une réinitialisation de mot de passe avant d'utiliser le compte sur un appareil réinitialisé. Consultez les recommandations actuelles de Google, puis réessayez.
5. Contactez le revendeur, l'opérateur ou le fabricant. Préparez la preuve d'achat, le numéro de série et l'IMEI. Certains proposent une procédure de déverrouillage une fois la propriété prouvée, chacun avec ses propres règles.
6. Si aucune de ces solutions ne fonctionne, déclarez l'appareil comme irrécupérable, retirez-le de la liste du parc et utilisez cet incident pour combler les failles de votre procédure.

Avertissement : N'utilisez pas d'outils de contournement du FRP, de téléchargements tiers ou de « services de déverrouillage ». Ils contiennent souvent des logiciels malveillants, risquent de violer vos accords avec le fabricant et fragilisent la protection sur laquelle vous comptez en cas de vol d'un appareil.

Résultat attendu : Vous avez soit déverrouillé l'appareil par une voie légitime, soit documenté sa situation et l'avez mis au rebut, et vous avez identifié quelle étape de la procédure a été manquée.

FAQ de dépannage

Nous avons supprimé le FRP, mais l'appareil demande toujours un compte. Pourquoi ?
Dans la plupart des cas, l'appareil a été réinitialisé à nouveau localement après l'effacement depuis la console, ou l'effacement a été envoyé sans activer le commutateur. Vérifiez également si l'appareil a bien reçu l'effacement avec suppression du FRP. S'il était hors ligne, la commande n'a peut-être jamais abouti avant que quelqu'un ne le réinitialise manuellement.

L'appareil demande un compte, mais nos administrateurs FRP ne fonctionnent pas.
L'appareil n'a probablement jamais reçu la stratégie contenant ces administrateurs, ou il détient une liste plus ancienne. Comparez la date de dernière connexion de l'appareil avec celle où vous avez modifié la stratégie. Vérifiez également que le compte administrateur n'est pas suspendu et que vous avez accès à son second facteur.

La configuration zero-touch ou Knox Mobile Enrollment permet-elle de contourner le FRP ?
Non. Ce sont des méthodes d'enrôlement, pas des méthodes de déverrouillage. Prévoyez vos opérations en partant du principe que le FRP doit être validé avant que le réenrôlement ne puisse avoir lieu.

Un employé a réinitialisé l'appareil depuis les Paramètres. Est-il verrouillé ?
Généralement non, car il a dû saisir le code de verrouillage de l'écran pour démarrer la réinitialisation. Le comportement varie toutefois selon les versions d'Android et les fabricants ; confirmez-le donc sur vos propres modèles.

Puis-je effacer le FRP à distance sur un appareil déjà verrouillé ?
Non. Après la réinitialisation, l'appareil n'est plus enrôlé, aucune commande de console ne peut donc l'atteindre. Suivez l'ordre de récupération présenté à l'étape 6.

Faut-il laisser la liste des administrateurs FRP vide pour éviter les blocages ?
Cela remplace un problème de processus par un problème de sécurité. Google indique qu'un appareil sans administrateur FRP listé n'offre pas de protection contre la réinitialisation d'usine : un appareil volé pourrait simplement être réinitialisé et réutilisé. Gardez les administrateurs et corrigez plutôt la procédure.

Points clés et prochaines étapes

• Gardez la maîtrise des clés. Définissez deux comptes administrateur FRP appartenant au service informatique par stratégie et testez-les sur du matériel réel.
• Les effacements défensifs conservent le FRP. Cela concerne les effacements pour appareils perdus, volés, non restitués ainsi que les effacements de mise en conformité.
• Les effacements administratifs suppriment le FRP, et uniquement lorsque l'appareil est dans votre atelier.
• Ne réinitialisez jamais localement au dépôt. Effectuez toujours l'effacement depuis la console tant que l'appareil est encore enrôlé.
• Récupérez l'appareil de manière légitime grâce aux administrateurs FRP, à l'utilisateur précédent ou au fabricant, et jamais via des outils de contournement.

Comme prochaine étape, appliquez les étapes 2 et 5 de bout en bout sur un appareil de test cette semaine, et intégrez la procédure de retour d'appareil aux modes opératoires standard de votre dépôt.

Si vous gérez votre flotte avec Nomid MDM, les trois réglages sur lesquels repose ce guide sont déjà dans la console. Pour répéter la procédure d'abord, le forfait gratuit couvre jusqu'à 10 appareils sans limite de durée, assez pour votre matériel de rechange avant le déploiement.