Verrouiller la borne de bureau

Les bornes publiques nécessitent un appareil dédié

Un ordinateur macOS ou Windows exécutant la borne de bureau Jonot dans un lieu public doit être un appareil dédié. Ne l’utilisez pas aussi comme guichet ou poste de travail partagé. Le système d’exploitation doit bloquer les actions comme Forcer à quitter (⌘+⌥+Échap), Mission Control et les gestes Spaces. Ces restrictions empêchent l’utilisation normale de l’ordinateur. Voir Exécuter l’écran et le guichet sur un seul ordinateur pour la topologie multi-surface prise en charge.

L’application borne de bureau bloque les actions qu’elle peut contrôler. Pour une borne publique sans surveillance, appliquez aussi un profil du système d’exploitation. Ce profil bloque les méthodes de sortie qu’une application de bureau ne peut pas contrôler.

Ce que l’application gère seule

Lorsqu’elle est lancée comme client borne, l’application de bureau :

• S’ouvre sans bordure et en plein écran, couvrant toute la géométrie de l’écran, y compris la barre de menus.
• Sur macOS, masque la barre de menus et le dock via les NSApplicationPresentationOptions natives (.hideMenuBar | .hideDock) et les réaffirme chaque fois que l’application reprend le focus.
• Bloque ⌘+Q (et « Quitter » du menu application) sur macOS via le QuitHandler AWT.
• Tente de bloquer d’autres raccourcis courants, notamment Alt+F4, ⌘+W, Alt+Tab, ⌘+Tab, la touche Windows/Super, F11, et Échap — pour ceux que le système d’exploitation délivre à l’application avant d’agir dessus lui-même.
• Verrouille la sortie derrière un PIN gestionnaire. Le menu gestionnaire s’ouvre avec cinq tapotements rapides dans le coin supérieur droit (pour les écrans tactiles) ou cinq pressions de F12 (pour les claviers physiques), et la saisie du PIN dispose d’un blocage anti-force-brute. Un opérateur superviseur définit le PIN au premier lancement. Voir Sortir du verrouillage de la borne et récupérer le PIN pour le flux complet de l’opérateur, y compris la récupération du PIN.

L’application guichet n’est pas verrouillée — c’est un outil destiné au personnel et elle conserve les contrôles de fenêtre normaux.

Ce que l'application ne peut pas fermer — nécessite un profil au niveau du système

Une application de bureau ne peut pas bloquer de manière fiable chaque geste système. Les actions qui nécessitent un profil du système d’exploitation sont : Forcer à quitter (⌘+⌥+Échap), Mission Control, les gestes Spaces, les coins actifs, le changement d’application (⌘+Tab / Alt+Tab au niveau du système), et Spotlight. Utilisez la procédure au niveau du système ci-dessous pour couvrir ces cas.

Windows — Assigned Access / Shell Launcher

Windows propose deux mécanismes de borne. La borne de bureau est une application Win32 : utilisez donc Shell Launcher. Le mode mono-application d’Assigned Access accepte uniquement les applications UWP/MSIX ou Microsoft Edge.

Shell Launcher v2 remplace le shell Windows par défaut (explorer.exe) par l’application borne Jonot pour un compte précis. Sans Explorer, ce compte n’a ni bureau, ni menu Démarrer, ni barre des tâches. Shell Launcher redémarre la borne si elle se ferme. Il nécessite Windows 10/11 Enterprise, Education ou IoT Enterprise.

1. Activez la fonctionnalité optionnelle Shell Launcher (Enable-WindowsOptionalFeature -Online -FeatureName Client-EmbeddedShellLauncher), ou poussez-la depuis votre MDM.
2. Créez un compte local standard (non-administrateur) dédié pour la borne.
3. Configurez Shell Launcher pour définir le shell personnalisé de ce compte sur le lanceur de la borne Jonot, avec l’action de redémarrage à la fermeture — via le CSP Shell Launcher de votre MDM, ou localement avec l’exemple PowerShell du pont WMI documenté dans le guide Shell Launcher.
4. Configurez le compte de la borne en connexion automatique et désactivez l’écran de verrouillage, la mise en veille, et le changement rapide d’utilisateur.

Pour une configuration supervisée sans licence Enterprise, le « navigateur borne » Assigned Access peut ouvrir directement https://kiosk.jonot.io. Il exécute l’application web dans Edge sans connexion native : l’impression locale et le basculement vers l’hôte hors ligne ne fonctionnent pas. Utilisez cette solution uniquement si vous n’avez pas besoin de ces fonctions natives.

macOS — procédure de prévention d’échappement au niveau du système

L’application masque la barre de menus et le dock et bloque ⌘+Q côté application. Le profil au niveau du système couvre les issues que l’application ne peut pas fermer : Force Quit, Mission Control, changement de Spaces, coins actifs, Spotlight, et changement d’application.

Utilisez un compte géré ou restreint dédié avec connexion automatique. Déployez depuis un MDM (Jamf Pro, Kandji, Mosyle, ou Intune) :

1. Compte standard dédié + connexion automatique. Créez un compte local non-administrateur utilisé uniquement pour la borne. Activez la connexion automatique pour ce compte et désactivez la mise en veille du système avec un profil d’énergie. Une charge utile Managed Login Items garantit que l’application borne démarre au début de la session.

2. Désactiver Force Quit (⌘+⌥+Échap). Force Quit est la principale issue que l’application ne peut pas bloquer. Désactivez-la avec une charge utile de préférences gérées personnalisée pour com.apple.loginwindow :

   DisableForceQuitCombinedKey = true

3. Désactiver Mission Control et le changement de Spaces. Utilisez com.apple.symbolichotkeys pour désactiver le raccourci Mission Control (touche 32) et les raccourcis de changement de Spaces (touches 79–81, 118–123).

4. Désactiver les coins actifs. Poussez une charge utile de préférence com.apple.dock avec les quatre clés wvous-*-corner réglées sur 0 (désactivé).

5. Désactiver Spotlight. Désactivez le raccourci clavier Spotlight via com.apple.symbolichotkeys (touche 64 pour la recherche Spotlight). Remarque : la clé Spotlight de la charge utile Restrictions standard ne supprime que les résultats Internet, pas Spotlight lui-même — utilisez plutôt l’approche symbolichotkeys.

6. Désactiver le changement d’application (⌘+Tab). Désactivez le raccourci Application Switcher via com.apple.symbolichotkeys (touche 27).

Note

macOS dispose aussi du mode Autonomous Single App (ASAM), qui fournit un verrouillage mono-application imposé par le système. ASAM nécessite que l’application adhère via l’API ASAM d’Apple, ce que la borne de bureau Jonot ne fait pas actuellement. La procédure ci-dessus atteint un verrouillage efficace sans ASAM pour les issues qui comptent.

Linux — session GNOME kiosk

Sous Linux, utilisez une session GNOME Kiosk dédiée qui exécute l’application Jonot comme unique fenêtre. La session ne comporte ni panneau, ni vue Activités, ni sélecteur d’applications.

1. Installez le paquet gnome-kiosk (disponible sur les versions récentes de Fedora et Debian/Ubuntu). Il fournit un compositeur Wayland minimal qui exécute une seule application en plein écran.
2. Créez une session personnalisée qui lance l’exécutable de la borne Jonot comme commande shell, de sorte que l’application borne soit la session.
3. Configurez la connexion automatique GDM pour un utilisateur standard dédié dans cette session borne.
4. Renforcez le système environnant : désactivez le changement de VT et Ctrl+Alt+Retour arrière, bloquez l’accès TTY dans logind, et désactivez l’extinction automatique de l’écran et la gestion de l’alimentation.

Comme le compositeur GNOME Kiosk n’expose jamais de changeur ou de vue d’ensemble, il n’y a aucune issue en session vers une autre application — le système d’exploitation impose ce que la suppression de raccourcis en processus de l’application ne peut que tenter.

Superposition recommandée

Couche	Protège contre
Verrouillage dans l’application	Barre de menus/dock (macOS), ⌘+Q, sorties accidentelles, raccourcis interceptables en processus
Profil borne au niveau système	Force Quit, Mission Control, Spaces, coins actifs, Spotlight, changement d’application au niveau système
Enceinte physique	Accès matériel — ports USB, bouton d’alimentation, le clavier

Pour une borne publique sans surveillance, utilisez toujours le verrouillage de l’application et un profil du système d’exploitation. Ajoutez une enceinte physique si vous devez aussi empêcher l’accès au matériel.