Verrouiller la borne de bureau

Les bornes publiques nécessitent un appareil dédié

Un ordinateur macOS ou Windows exécutant la borne de bureau Jonot dans un cadre public doit être un appareil dédié — il ne peut pas non plus servir de guichet utilisable ou de poste de travail partagé. La prévention d’échappement au niveau du système d’exploitation (Force Quit ⌘+⌥+Échap, Mission Control, gestes Spaces) est obligatoire pour une borne publique et incompatible avec le fait que la même machine soit normalement utilisable. Voir Exécuter l’écran et le guichet sur un seul ordinateur pour la topologie multi-surface prise en charge.

L’application borne de bureau gère ce qu’elle peut depuis son propre processus. Pour les bornes publiques sans surveillance, superposez un profil au niveau du système d’exploitation sous l’application pour que le système d’exploitation lui-même bloque les issues que l’application ne peut fondamentalement pas fermer.

Ce que l’application gère seule

Lorsqu’elle est lancée comme client borne, l’application de bureau :

• S’ouvre sans bordure et en plein écran, couvrant toute la géométrie de l’écran, y compris la barre de menus.
• Sur macOS, masque la barre de menus et le dock via les NSApplicationPresentationOptions natives (.hideMenuBar | .hideDock) et les réaffirme chaque fois que l’application reprend le focus.
• Bloque ⌘+Q (et « Quitter » du menu application) sur macOS via le QuitHandler AWT.
• Tente de supprimer d’autres raccourcis courants — Alt+F4, ⌘+W, Alt+Tab, ⌘+Tab, la touche Windows/Super, F11, et Échap — pour ceux que le système d’exploitation délivre à l’application avant d’agir dessus lui-même.
• Verrouille la sortie derrière un PIN gestionnaire. Le menu gestionnaire s’ouvre avec cinq tapotements rapides dans le coin supérieur droit (pour les écrans tactiles) ou cinq pressions de F12 (pour les claviers physiques), et la saisie du PIN dispose d’un blocage anti-force-brute. Un opérateur superviseur définit le PIN au premier lancement. Voir Sortir du verrouillage de la borne et récupérer le PIN pour le flux complet de l’opérateur, y compris la récupération du PIN.

L’application guichet n’est pas verrouillée — c’est un outil destiné au personnel et elle conserve les contrôles de fenêtre normaux.

Ce que l'application ne peut pas fermer — nécessite un profil au niveau du système

Une application de bureau ne peut pas bloquer de manière fiable chaque geste système depuis son propre processus. Les issues qui nécessitent un profil au niveau du système d’exploitation sont : Force Quit (⌘+⌥+Échap), Mission Control, les gestes Spaces, les coins actifs, le changement d’application (⌘+Tab / Alt+Tab au niveau du système), et Spotlight. Utilisez la procédure au niveau du système ci-dessous pour couvrir ces cas.

Windows — Assigned Access / Shell Launcher

Windows propose deux mécanismes de borne. La borne de bureau est une application de bureau Win32 classique, Shell Launcher est donc le bon choix — Assigned Access (borne mono-application) n’accepte que les applications UWP/MSIX ou Microsoft Edge.

Shell Launcher v2 remplace le shell Windows par défaut (explorer.exe) par l’exécutable de la borne Jonot pour un compte désigné. Sans shell Explorer, il n’y a ni bureau, ni menu Démarrer, ni barre des tâches ; si l’application se ferme, Shell Launcher la redémarre. Nécessite Windows 10/11 Enterprise, Education, ou IoT Enterprise.

1. Activez la fonctionnalité optionnelle Shell Launcher (Enable-WindowsOptionalFeature -Online -FeatureName Client-EmbeddedShellLauncher), ou poussez-la depuis votre MDM.
2. Créez un compte local standard (non-administrateur) dédié pour la borne.
3. Configurez Shell Launcher pour définir le shell personnalisé de ce compte sur le lanceur de la borne Jonot, avec l’action de redémarrage à la fermeture — via le CSP Shell Launcher de votre MDM, ou localement avec l’exemple PowerShell du pont WMI documenté dans le guide Shell Launcher.
4. Configurez le compte de la borne en connexion automatique et désactivez l’écran de verrouillage, la mise en veille, et le changement rapide d’utilisateur.

Pour une configuration supervisée rapide sans licence Enterprise, le « navigateur borne » Assigned Access peut pointer directement vers https://kiosk.jonot.io — mais il exécute la SPA dans Edge sans le pont natif (pas d’impression locale, pas de bascule vers l’hôte hors ligne), c’est donc un recours, pas un substitut à l’application native.

macOS — procédure de prévention d’échappement au niveau du système

L’application masque la barre de menus et le dock et bloque ⌘+Q côté application. Le profil au niveau du système couvre les issues que l’application ne peut pas fermer : Force Quit, Mission Control, changement de Spaces, coins actifs, Spotlight, et changement d’application.

Utilisez un compte géré ou restreint dédié avec connexion automatique. Déployez depuis un MDM (Jamf Pro, Kandji, Mosyle, ou Intune) :

1. Compte standard dédié + connexion automatique. Créez un compte local non-administrateur utilisé uniquement pour la borne. Activez la connexion automatique pour ce compte et désactivez la mise en veille du système avec un profil d’énergie. Une charge utile Managed Login Items garantit que l’application borne démarre au début de la session.

2. Désactiver Force Quit (⌘+⌥+Échap). Force Quit est la principale issue que l’application ne peut pas bloquer. Désactivez-la avec une charge utile de préférences gérées personnalisée pour com.apple.loginwindow :

   DisableForceQuitCombinedKey = true

3. Désactiver Mission Control et le changement de Spaces. Utilisez com.apple.symbolichotkeys pour désactiver le raccourci Mission Control (touche 32) et les raccourcis de changement de Spaces (touches 79–81, 118–123).

4. Désactiver les coins actifs. Poussez une charge utile de préférence com.apple.dock avec les quatre clés wvous-*-corner réglées sur 0 (désactivé).

5. Désactiver Spotlight. Désactivez le raccourci clavier Spotlight via com.apple.symbolichotkeys (touche 64 pour la recherche Spotlight). Remarque : la clé Spotlight de la charge utile Restrictions standard ne supprime que les résultats Internet, pas Spotlight lui-même — utilisez plutôt l’approche symbolichotkeys.

6. Désactiver le changement d’application (⌘+Tab). Désactivez le raccourci Application Switcher via com.apple.symbolichotkeys (touche 27).

Note

macOS dispose aussi du mode Autonomous Single App (ASAM), qui fournit un verrouillage mono-application imposé par le système. ASAM nécessite que l’application adhère via l’API ASAM d’Apple, ce que la borne de bureau Jonot ne fait pas actuellement. La procédure ci-dessus atteint un verrouillage efficace sans ASAM pour les issues qui comptent.

Linux — session GNOME kiosk

Sur Linux, le verrouillage le plus propre est une session GNOME Kiosk dédiée qui exécute l’application borne Jonot comme unique fenêtre de la session — pas de panneau, pas de vue d’ensemble Activités, et pas de changement d’application.

1. Installez le paquet gnome-kiosk (disponible sur les versions récentes de Fedora et Debian/Ubuntu). Il fournit un compositeur Wayland minimal qui exécute une seule application en plein écran.
2. Créez une session personnalisée qui lance l’exécutable de la borne Jonot comme commande shell, de sorte que l’application borne soit la session.
3. Configurez la connexion automatique GDM pour un utilisateur standard dédié dans cette session borne.
4. Renforcez le système environnant : désactivez le changement de VT et Ctrl+Alt+Retour arrière, bloquez l’accès TTY dans logind, et désactivez l’extinction automatique de l’écran et la gestion de l’alimentation.

Comme le compositeur GNOME Kiosk n’expose jamais de changeur ou de vue d’ensemble, il n’y a aucune issue en session vers une autre application — le système d’exploitation impose ce que la suppression de raccourcis en processus de l’application ne peut que tenter.

Superposition recommandée

Couche	Protège contre
Verrouillage dans l’application	Barre de menus/dock (macOS), ⌘+Q, sorties accidentelles, raccourcis interceptables en processus
Profil borne au niveau système	Force Quit, Mission Control, Spaces, coins actifs, Spotlight, changement d’application au niveau système
Enceinte physique	Accès matériel — ports USB, bouton d’alimentation, le clavier

Exécutez toujours le verrouillage dans l’application et un profil au niveau du système ensemble pour les installations publiques sans surveillance. Une enceinte physique est la troisième couche pour des déploiements entièrement résistants à la manipulation.