Gestion auto-hébergée des appareils mobiles

La souveraineté sur chaque appareil, que vous distribuez.

ShadowZ MDM gère votre flotte Android sur votre serveur, sous votre nom de domaine, sans qu'un fournisseur ne vous lise par-dessus l'épaule. Incluant un durcissement actif contre les IMSI catchers, le pistage UWB et NFC.

Obtenir une licence Voir les fonctionnalités

Payez une fois. Hébergez-le vous-même. Aucun frais récurrent.

panel.votre-domaine.com
42 appareils
Pixel 8, Recherche
active
Pixel 7a, Travail de terrain
active
Pixel 8, Cabinet d'avocats
locked
Pixel 7, Réserve
active

Le problème

Qui contrôle votre MDM contrôle votre flotte.

Les MDM cloud vous lisent

Hexnode, Scalefusion, Intune, JumpCloud. Tous fonctionnent dans le cloud du fournisseur. Chaque configuration, chaque commande, chaque journal de localisation transite par leurs serveurs. Vous confiez à un second fournisseur l'accès à vos appareils.

Modèle par abonnement avec verrouillage

50 à 80 euros par appareil et par an. Avec 30 appareils sur 5 ans, cela représente vite 10.000 euros pour un logiciel de gestion. Résilier signifie une migration sous pression et le réenrôlement de chaque appareil.

Le pistage intégré

Les solutions standard ne bloquent ni le downgrade 2G (IMSI catcher), ni le pistage UWB, ni la lecture NFC passive. Quiconque choisit GrapheneOS pour échapper au pistage subit une surveillance par la porte dérobée des MDM cloud.

La solution

Trois propriétés qu'aucun MDM cloud ne peut vous offrir.

01

Souveraineté des données

Le serveur tourne sur votre matériel, sous votre nom de domaine, avec votre certificat TLS. Postgres, Redis, le cœur du MDM. Trois conteneurs Docker. Personne d'autre que vous n'a accès à la base de données contenant les configurations, les appareils enrôlés, les journaux d'audit.

02

Durcissement anti-surveillance

Activable par configuration : blocage 2G contre les IMSI catchers, radios UWB et NFC entièrement coupées, maillage Thread bloqué, partage de contacts Bluetooth désactivé, service de localisation totalement coupé. Plus le durcissement de l'écran de verrouillage, l'effacement automatique après échecs, le blocage d'installation d'applications.

03

Licence à vie

Achetez une fois. Mises à jour incluses. Aucune limite d'appareils dans la formule À vie. Si le monde coupe le serveur de licences demain, votre MDM continue de fonctionner car le jeton est validé hors ligne. Aucun kill switch.

Fonctionnalités

Quatre domaines, sans verbiage marketing.

Chaque entrée correspond à une fonction concrète du produit. S'il vous manque quelque chose, demandez-nous avant d'acheter.

01

Anti-pistage

  • Blocage du réseau mobile 2G (protection contre les IMSI catchers, Android 14+)
  • Désactivation de la radio UWB (pistage de type FindMy, Android 14+)
  • Radio NFC coupée (pistage passif par balise, Android 14+)
  • Blocage du réseau maillé Thread (Android 15+)
  • Partage de contacts Bluetooth désactivé
  • Désactivation du service de localisation pour l'ensemble du système
  • Blocage du mode avion (pertinent sur le plan forensique)
02

Contrôle

  • Mode kiosque : une seule application visible
  • Liste blanche d'applications : Requises et Autorisées par configuration
  • Profils de configuration, attribués à un groupe ou à un appareil
  • Verrouillage, redémarrage et effacement à distance (avec confirmation)
  • Politique de mot de passe en cinq niveaux, du PIN au mot de passe alphanumérique de 12 caractères et plus
  • Forcer le changement de mot de passe au prochain déverrouillage
  • Gestion centralisée des fonds d'écran
03

Observabilité

  • Heartbeat en direct toutes les 30 secondes, en ligne ou hors ligne dans le panneau
  • Rapports de plantage envoyés automatiquement, trace de pile et fin du logcat
  • Captures de journaux à la demande, aller-retour de 2 à 5 secondes
  • Journal d'audit de toutes les actions admin, déclencheur BEFORE contre la falsification
  • Journalisation réseau et de sécurité activable en option
  • Message d'assistance sur l'écran de verrouillage : avis du propriétaire sur chaque appareil
04

Sécurité

  • mTLS entre l'agent et le serveur, votre propre autorité de certification interne
  • Row Level Security Postgres, fermeture par défaut en cas de filtre de locataire oublié
  • 2FA TOTP pour la connexion admin avec codes de récupération
  • Protection CSRF, HSTS, Content Security Policy
  • Sauvegardes chiffrées en AES-256-GCM via gpg, 600k itérations PBKDF2
  • Clé d'autorité de certification chiffrée sur disque avec une phrase secrète
  • Chiffrement au repos du JWT de licence

En préparation

Le ShadowZ Phone.

Un Pixel 9a préconfiguré sous GrapheneOS, livré avec le statut DeviceOwner actif et l'agent ShadowZ MDM déjà enrôlé. Déballez-le, scannez le QR code de licence, c'est fait.

  • Durci par GrapheneOS, Verified Boot actif, bootloader verrouillé
  • Fonctionne exclusivement avec ShadowZ MDM. Aucune compatibilité avec les MDM cloud.
  • Politique anti-pistage dès l'usine : 2G bloquée, UWB et NFC désactivés, interrupteur de capteurs préconfiguré
  • Matériel Pixel 9a avec puce de sécurité Titan M2
Remarque : Le ShadowZ Phone nécessite une instance ShadowZ MDM active. Les deux produits sont achetés séparément. La formule À vie du MDM n'inclut pas le matériel du téléphone.
En savoir plus sur le ShadowZ Phone
ShadowZ Phone : assistant de configuration sous GrapheneOS, première étape avec l'identité visuelle ShadowZ
Agent MDM
enrôlé ✓

Tarifs

Une seule licence pour toute votre flotte.

Tous les prix incluent la TVA. Paiement par virement bancaire ou Bitcoin. Activation généralement sous 24 heures.

Mensuel

€199 par mois

Pour les évaluations et les déploiements de courte durée.

  • Jusqu'à 50 appareils
  • Toutes les fonctionnalités
  • Assistance par e-mail
  • Résiliable à tout moment
Démarrer en mensuel

Annuel

€999 par an

Pour les installations établies avec un nombre fixe d'appareils.

  • Jusqu'à 500 appareils
  • Toutes les fonctionnalités
  • Assistance prioritaire
  • Engagement de 12 mois
Acheter en annuel
Recommandé

À vie

€2.999 une fois

Pour les structures qui exploitent le MDM en permanence dans leur propre stack.

  • Appareils illimités
  • Toutes les fonctionnalités, toutes les mises à jour futures
  • Canal d'assistance direct
  • Aucun abonnement, aucun renouvellement automatique, aucun kill switch
Sécuriser la formule À vie

Pour des licences entreprise de plus de 1000 appareils ou des installations on-premise avec air gap, contactez-nous directement : sales@shadowz.live.

Données techniques

Sur votre serveur, votre stack, vos règles.

Stack serveur
Docker Compose. Postgres 16, Redis 7, binaire Go, Caddy ou nginx comme frontend TLS.
Matériel minimum
4 Go de RAM, 2 vCPU, 20 Go de disque. Suffisant pour plusieurs centaines d'appareils.
Domaine et TLS
Votre propre nom d'hôte. Let's Encrypt via Caddy automatiquement, ou votre propre certificat.
Base de données
Postgres avec Row Level Security. Sauvegardes chiffrées via l'outil intégré (gpg, AES-256-GCM).
Authentification
JWT avec jeton d'accès et de rafraîchissement, 2FA TOTP pour les admins, mTLS entre l'agent et le serveur.
Modèle de mise à jour
Pull d'image Docker. Aucune mise à jour automatique, vous décidez quand.
Compatibilité OS
Android 9 à Android 16. Jeu de fonctionnalités complet uniquement en tant que DeviceOwner. GrapheneOS recommandé.
Langues
Anglais, allemand, français, espagnol, italien, portugais.
Modèle de licence
JWT signé depuis license.shadowz.live, validé hors ligne. Si le serveur de licences tombe en panne, votre MDM continue de fonctionner.
Code source
Propriétaire. Documentation complète de l'architecture sur demande. Droit d'audit pour les clients À vie.

L'écosystème ShadowZ

Trois produits, un seul système.

Une messagerie sécurisée, un téléphone sécurisé et la gestion qui les relie. Choisissez-en un, ou faites fonctionner les trois comme un ensemble intégré.

Application

ShadowZ Messenger

Messagerie chiffrée de bout en bout, sans numéro de téléphone, sans compte et sans trace de métadonnées.

Ouvrir la messagerie

Téléphone

ShadowZ Phone

Un Pixel 9a sous GrapheneOS durci, l'agent MDM enrôlé dès l'usine.

Voir le téléphone

MDM

ShadowZ MDM

Gestion des appareils auto-hébergée. Votre flotte, votre serveur, sans aucun tiers entre les deux.

Vous êtes ici

Secure · Private · Yours

Questions fréquentes

Ce qu'on nous demande le plus.

Sur quels serveurs le MDM fonctionne-t-il ?
Sur les vôtres. Vous l'installez avec un script shell sur un VPS, une machine dédiée ou dans votre propre centre de données. Nous recommandons Hetzner, OVH, un serveur racine Strato ou une machine dans votre propre rack. ARM et x86_64 sont pris en charge.
Est-ce conforme au RGPD ?
Vous êtes le responsable du traitement, vous décidez où se trouvent vos serveurs et comment vous les sécurisez. Nous fournissons l'outil. Le logiciel stocke les journaux d'audit, les rapports de plantage et les configurations exclusivement sur votre serveur. Aucune donnée de télémétrie ne nous est envoyée.
Quel est le rapport avec HeadwindMDM ?
HeadwindMDM est une ancienne solution MDM open source. ShadowZ MDM est un produit commercial axé sur les fonctions anti-surveillance actuelles (restrictions de la vague 4 telles que le blocage 2G, l'UWB coupé, le NFC coupé), une stack technique moderne (Go, Next.js, Postgres avec RLS), six langues et un support commercial.
Que se passe-t-il si vous cessez votre activité ?
Le jeton de licence est validé hors ligne et reste valable 60 jours par cycle. Si le serveur de licences est injoignable plus longtemps, le MDM continue de fonctionner en mode lecture seule, de nouveaux appareils peuvent être enrôlés, les appareils existants fonctionnent sans changement. En cas d'urgence, nous publions un guide de désactivation de licence afin que vous puissiez exploiter le produit sans nous.
Est-ce que j'obtiens le code source ?
Les licences Standard ne donnent pas accès au code source. Les clients À vie disposent d'un droit d'audit : après la signature d'un contrat avec accord de confidentialité, ils reçoivent un accès en lecture seule au dépôt pour des audits de sécurité. Nous ne prévoyons pas de le passer en open source.
Est-ce que cela passe à l'échelle de milliers d'appareils ?
La base de données est Postgres avec Row Level Security. Le heartbeat a lieu toutes les 30 secondes, le serveur maintient des connexions WebSocket ouvertes pour chaque appareil en ligne. Sur une machine de 8 vCPU avec 16 Go de RAM, nous avons testé jusqu'à 5000 appareils. Pour des flottes plus importantes, contactez-nous pour une évaluation d'architecture.
Quelles versions d'Android sont prises en charge ?
Android 9 à Android 16. Les fonctions anti-pistage nécessitent Android 14 (2G, UWB, NFC) ou Android 15 (Thread). Sur les versions plus anciennes, ces interrupteurs sont désactivés, le reste fonctionne. GrapheneOS est particulièrement recommandé car son durcissement y travaille avec le MDM plutôt que contre lui.
Puis-je migrer depuis un autre MDM ?
Oui, mais c'est un processus manuel. Chaque appareil doit être réenrôlé car le statut DeviceOwner n'est pas transférable entre MDM. Nous prenons en charge la migration de la configuration via un script pour Hexnode, Scalefusion et HeadwindMDM. Pour les flottes plus importantes, nous accompagnons la migration.

Une question subsiste ? Écrivez à hello@shadowz.live .