Intune : gérer les mises à jour des applications Windows

La mise à jour des applications Windows est aujourd’hui un enjeu stratégique pour les directions informatiques. Au-delà du simple confort utilisateur, elle conditionne directement la sécurité du système d’information, la stabilité des postes de travail et la productivité des collaborateurs. Des applications non mises à jour exposent l’entreprise à des failles de sécurité connues, à des incompatibilités logicielles et à une dette technique qui s’accumule dans le temps.

Dans ce contexte, Microsoft Intune s’impose comme un outil central du Modern Management. Il permet non seulement de déployer des applications, mais aussi de structurer et automatiser leur mise à jour, à condition d’adopter une stratégie adaptée aux différents types d’applications et aux contraintes de l’organisation.

Les types d’applications Windows gérées dans Microsoft Intune

Applications Microsoft Store (nouvelle version)

Les applications issues du Microsoft Store (nouvelle expérience) constituent le mode de gestion le plus simple dans Intune. Dans ce modèle, Microsoft délègue une grande partie de la maintenance au Store lui-même. Les mises à jour sont téléchargées et installées automatiquement, sans intervention de l’administrateur.

Cette approche présente un avantage évident : elle réduit fortement la charge opérationnelle des équipes IT. En revanche, elle offre peu de contrôle sur la version exacte déployée ou sur le calendrier de mise à jour. Les applications sont mises à jour dès que Microsoft publie une nouvelle version, ce qui peut parfois poser des contraintes de compatibilité dans certains environnements.

Ce type de gestion est particulièrement adapté aux applications standards, largement utilisées, et pour lesquelles les risques liés aux mises à jour automatiques sont faibles.

Applications Win32 (.exe / .msi)

Les applications Win32 représentent la majorité des logiciels utilisés en entreprise : applications métiers, outils tiers, logiciels historiques ou éditeurs spécialisés. Contrairement aux applications du Microsoft Store, ces applications ne disposent d’aucun mécanisme de mise à jour automatique natif dans Intune.

Chaque mise à jour nécessite donc une action volontaire de l’administrateur, qu’il s’agisse de re-packager l’application ou de mettre en place une logique de mise à jour spécifique. C’est précisément sur ce périmètre que se concentrent la plupart des enjeux et des difficultés liés à la mise à jour applicative dans Intune.

Microsoft 365 Apps

Les Microsoft 365 Apps (Word, Excel, Outlook, Teams, etc.) bénéficient d’un modèle de mise à jour bien plus structuré. Intune permet de contrôler finement leur évolution grâce aux Update Channels. Ces canaux définissent la fréquence de mise à jour et le niveau de stabilité attendu.

Ce mécanisme permet aux équipes IT de trouver un équilibre entre innovation, sécurité et compatibilité applicative, en fonction des profils utilisateurs et des contraintes métiers. La gestion des mises à jour des Microsoft 365 Apps est généralement considérée comme mature et fiable lorsqu’elle est correctement configurée.

Gérer les mises à jour des applications Win32 avec Microsoft Intune

L’importance d’un packaging Win32 standardisé

Un packaging Win32 standardisé constitue la base d’une stratégie de mise à jour fiable. L’utilisation de scripts PowerShell permet d’uniformiser les installations, de gérer les prérequis et de produire des logs exploitables en cas d’incident.

Un bon package Win32 doit notamment :

• intégrer une nomenclature claire (éditeur, application, version),
• inclure des métadonnées complètes facilitant le suivi,
• reposer sur une règle de détection robuste.

La règle de détection est un point critique. Une détection basée sur une version « supérieure ou égale » ou sur un ProductCode MSI fiable permet à Intune de déterminer précisément si une mise à jour est nécessaire.

La mise à jour manuelle des applications Win32

La méthode la plus répandue reste la mise à jour manuelle. Elle consiste à télécharger la nouvelle version de l’application, créer un nouveau package Win32 (.intunewin) puis déployer cette version via Intune.

Cette approche présente des avantages clairs :

• un contrôle total sur le contenu et le calendrier de déploiement,
• une forte maîtrise des applications critiques ou sensibles.

En contrepartie, elle montre rapidement ses limites :

• processus chronophage,
• risque d’erreurs humaines,
• difficulté à cibler précisément les postes disposant d’une version donnée, notamment pour les applications déployées en mode « Disponible ».

La supersedence : gérer le remplacement des versions

La fonctionnalité de supersedence permet d’indiquer qu’une application doit en remplacer une autre. Lors du déploiement, Intune peut alors installer la nouvelle version et, si nécessaire, désinstaller automatiquement l’ancienne.

Elle est particulièrement utile dans des scénarios tels que :

• une montée de version majeure,
• un changement de technologie ou de méthode d’installation,
• une standardisation applicative progressive.

Cependant, la supersedence présente plusieurs limites qu’il est important d’anticiper :

• elle ne cible que les applications installées via Intune,
• elle est peu adaptée aux applications proposées en mode « Disponible »,
• elle impose de conserver les anciennes versions tant que la migration n’est pas complète.

Automatiser la mise à jour des applications Windows avec Intune

Utiliser WinGet pour automatiser les mises à jour

WinGet (Windows Package Manager) est l’outil natif de gestion de paquets de Windows. Il permet d’installer, de mettre à jour et de supprimer des applications à partir d’un catalogue maintenu par Microsoft et par des éditeurs partenaires.

Dans Intune, WinGet est généralement utilisé pour maintenir à jour un socle d’applications standards, via des scripts PowerShell ou des applications Win32 encapsulant des commandes WinGet. Le fonctionnement est simple : Intune déclenche le script, WinGet compare les versions installées et applique les mises à jour nécessaires.

WinGet présente plusieurs atouts :

• solution native et gratuite,
• réduction du besoin en packaging manuel,
• catalogue applicatif en évolution constante,
• possibilité de créer des repositories privés.

Il convient néanmoins de garder à l’esprit certaines limites :

• absence de véritables rings de déploiement,
• reporting limité dans Intune,
• incompatibilité avec le déploiement applicatif durant la phase Autopilot.

A lire aussi : Autopilot : Sécurisez vos postes de travail Windows dès la phase OOBE

Automatiser les mises à jour avec Patch My PC et Intune

Pour les environnements plus complexes, Patch My PC s’impose comme une solution d’automatisation avancée. Elle s’intègre nativement avec Microsoft Intune, Configuration Manager et Windows Autopatch.

Patch My PC prend en charge plusieurs milliers d’applications tierces et automatise l’ensemble du cycle de vie applicatif, depuis la détection des nouvelles versions jusqu’à leur déploiement dans Intune.

Son fonctionnement repose sur :

• un connecteur sécurisé vers Intune,
• un catalogue applicatif maintenu par l’éditeur,
• des règles de déploiement définies par l’administrateur.

Contrairement à WinGet, Patch My PC offre un contrôle très fin sur les mises à jour :

• paramètres d’installation silencieuse,
• scripts de pré et post-installation,
• notifications utilisateur personnalisées,
• gestion des redémarrages et des fenêtres de maintenance,
• reporting détaillé et alertes en cas d’échec.

Cette richesse fonctionnelle en fait une solution particulièrement adaptée aux environnements d’entreprise exigeants, au prix d’une dépendance à un éditeur tiers et d’un coût de licence.

Conclusion

Microsoft Intune offre de nombreuses possibilités pour gérer efficacement la mise à jour des applications Windows, à condition de choisir les bons leviers. Les approches manuelles restent pertinentes pour des applications critiques, mais montrent rapidement leurs limites à grande échelle.

En combinant un packaging Win32 rigoureux, des règles de détection fiables et des solutions d’automatisation comme WinGet ou Patch My PC, les organisations peuvent renforcer la sécurité de leur parc, améliorer la stabilité des postes de travail et réduire durablement la charge opérationnelle des équipes IT.