Notifications push pour Secure Mail

Secure Mail pour iOS et Secure Mail pour Android peuvent recevoir des notifications concernant l’activité des e-mails et des calendriers lorsque l’application est exécutée en arrière-plan ou est fermée. Secure Mail pour iOS prend en charge les notifications fournies par les notifications push à distance via le service de notification push Apple (APNs). Secure Mail pour Android prend en charge les notifications fournies via le service Firebase Cloud Messaging (FCM).

• Fonctionnement des notifications push

• Pour fournir des notifications push pour iOS et Android, Citrix® héberge un service d’écoute sur Amazon Web Services (AWS) pour exécuter les fonctions suivantes :

• Écouter les notifications push Exchange Web Services (EWS) envoyées par les serveurs Exchange en cas d’activité dans la boîte de réception. Exchange n’envoie aucun contenu de courrier au service Citrix.

• Aucune information personnelle identifiable n’est stockée par le service Citrix. Au lieu de cela, un jeton d’appareil et un ID d’abonnement identifient l’appareil et le dossier de boîte de réception spécifiques à mettre à jour dans Secure Mail.

• Envoyer des notifications APNs, contenant uniquement le nombre de badges, à Secure Mail sur les appareils iOS.

• Envoyer des notifications FCM à Secure Mail sur les appareils Android.

Le service d’écoute Citrix n’a aucun impact sur le trafic de données de courrier, qui continue de circuler entre les appareils des utilisateurs et les serveurs Exchange via ActiveSync. Le service d’écoute, configuré pour la haute disponibilité et la reprise après sinistre, est disponible dans trois régions :

• Amériques
• Europe, Moyen-Orient et Afrique (EMEA)
• Asie-Pacifique (APAC)

Configuration système requise pour les notifications push

Si votre configuration Citrix Gateway inclut Secure Ticket Authority (STA) et que le split tunneling est désactivé, Citrix Gateway doit autoriser le trafic (lorsqu’il est tunnellisé depuis Secure Mail) vers les URL de service d’écoute Citrix suivantes :

Configuration de Secure Mail pour les notifications push

• Pour configurer les notifications push Apple ou FCM pour Secure Mail pour la distribution via l’App Store, dans la console Endpoint Management, définissez Notifications push sur ACTIVÉ, puis sélectionnez votre région. La figure suivante montre le paramètre pour iOS.

Pour Android, la figure suivante montre le même paramètre de notification push que pour iOS. De plus, si l’EWS est hébergé dans une région différente de celle où réside le serveur de messagerie, renseignez le paramètre Nom d’hôte EWS. Le paramètre par défaut est vide. Si vous laissez le paramètre vide, Endpoint Management utilise le nom d’hôte du serveur de messagerie.

Configurez Exchange et Citrix ADC pour permettre au trafic de circuler vers le service d’écoute.

Configuration du serveur Exchange

Autorisez le SSL sortant (sur le port 443) depuis votre pare-feu vers l’URL du service d’écoute Citrix pour la région où se trouve votre serveur Exchange. Par exemple :

Si vous avez un serveur proxy entre Exchange Web Services (EWS) et l’appareil d’écoute Citrix, vous pouvez effectuer l’une des opérations suivantes.

• Envoyer le trafic EWS via le proxy, puis vers l’appareil d’écoute.
• Contourner le proxy et acheminer le trafic EWS directement vers l’appareil d’écoute.

Pour envoyer le trafic EWS via le serveur proxy, configurez le fichier web.config EWS dans le dossier ClientAccess\exchweb\ews, comme suit.

<configuration>
<system.net>
<defaultProxy>
<proxy usesystemdefault="true" bypassonlocal="true" />

• </defaultProxy> </system.net> </configuration>

• Pour plus de détails sur la configuration des proxys, consultez Configuration du proxy.

Pour les environnements Exchange 2013, vous devez ajouter manuellement la section system.net au fichier web.config. Dans le cas contraire, les configurations décrites dans cet article devraient fonctionner pour Exchange 2013. Pour le dépannage, contactez votre administrateur Exchange.

Pour contourner le serveur proxy, configurez la liste de contournement afin de permettre à Exchange d’établir des connexions au service d’écoute Citrix.

• Lorsque Secure Hub est inscrit avec l’authentification par certificat, vous devez également configurer Exchange Server pour l’authentification par certificat. Pour plus de détails, consultez l’article Concepts avancés d’Endpoint Management.

Configuration de Citrix Gateway

Bien qu’Exchange Server doive autoriser le trafic vers le service d’écoute, Citrix ADC doit autoriser le trafic vers le service d’enregistrement. De cette façon, les appareils peuvent se connecter pour s’enregistrer afin de recevoir des notifications push.

• Si vos serveurs EWS et ActiveSync sont différents, configurez votre stratégie de trafic Citrix ADC pour autoriser le trafic EWS. Pour plus d’informations sur l’intégration de Citrix Endpoint Management à Citrix Gateway, consultez la section Intégration à Citrix Gateway et Citrix ADC.

Dépannage

Pour dépanner les connexions sortantes, vérifiez les journaux d’événements Exchange, qui incluent des entrées de journal lorsqu’une demande d’abonnement ou la notification d’un abonnement est invalide ou échoue. Vous pouvez également exécuter des traces Wireshark sur Exchange Server pour suivre le trafic sortant vers le service d’écoute Citrix.

FAQ sur les notifications push de Secure Mail

• Quand Android livre-t-il les notifications à Secure Mail ?

Sous Android, les notifications sont toujours livrées à Secure Mail.

Comment FCM affecte-t-il les notifications par e-mail qui apparaissent sur l’écran de verrouillage ?

Les notifications de nouveaux messages qui apparaissent sur l’écran de verrouillage de l’appareil sont générées à partir des données synchronisées avec l’appareil par Secure Mail. Il est important de noter que ces informations ne proviennent pas du service d’écoute.

• Pour afficher les notifications de nouveaux messages, Secure Mail doit être en mesure de synchroniser les données d’Exchange afin de disposer des informations nécessaires à la création des notifications.

Lorsque vous recevez un nouveau message, la notification FCM Vous avez de nouveaux messages apparaît. Une fois la synchronisation des e-mails terminée en arrière-plan, le nouveau message apparaît dans Secure Mail.

Comment APNs affecte-t-il les notifications par e-mail qui apparaissent sur l’écran de verrouillage ?

Les notifications de nouveaux messages qui apparaissent sur l’écran de verrouillage de l’appareil sont générées à partir des données synchronisées avec l’appareil par Secure Mail. Il est important de noter que ces informations ne proviennent pas du service d’écoute.

Pour afficher les notifications de nouveaux messages, Secure Mail doit être en mesure de synchroniser les données d’Exchange afin de disposer des informations nécessaires à la création des notifications.

Si les notifications APNs ne sont pas livrées à Secure Mail en arrière-plan, Secure Mail ne détecte pas les notifications et ne synchronise donc pas de nouvelles données. Comme aucune nouvelle donnée n’est disponible pour Secure Mail, aucune notification par e-mail n’est générée sur l’écran de verrouillage de l’appareil, même lorsque les notifications APNs ne sont pas livrées.

Comment l’actualisation en arrière-plan des applications affecte-t-elle Secure Mail et APNs ?

Si l’utilisateur désactive l’actualisation en arrière-plan des applications, les situations suivantes se produisent :

• Secure Mail ne reçoit pas de notifications lorsque Secure Mail est en arrière-plan.

  Remarque :

  Cette situation ne se produit que si les notifications push enrichies sont désactivées. Pour plus d’informations sur les notifications push enrichies, consultez l’article Notifications push enrichies pour Secure Mail pour iOS.

• Secure Mail ne met pas à jour l’écran de verrouillage avec les notifications de nouveaux messages.

La désactivation de l’actualisation en arrière-plan des applications a un effet majeur sur le comportement de Secure Mail. Comme indiqué précédemment, les mises à jour des badges basées sur les APNs se produisent toujours, mais aucun e-mail n’est synchronisé avec l’appareil dans ce mode.

Comment le mode économie d’énergie affecte-t-il Secure Mail et APNs ?

Le comportement du système vis-à-vis de Secure Mail est le même en mode économie d’énergie que lorsque l’actualisation en arrière-plan des applications est désactivée. En mode économie d’énergie, l’appareil ne réveille pas les applications pour une actualisation périodique et ne livre pas de notifications aux applications en arrière-plan. Les effets secondaires sont donc les mêmes que ceux énumérés dans la section sur l’actualisation en arrière-plan des applications ci-dessus. Notez qu’en mode économie d’énergie, les mises à jour des badges se produisent toujours, basées sur les notifications APNs.

Quels autres problèmes peuvent entraîner l’échec de la synchronisation basée sur FCM en arrière-plan ?

Divers problèmes peuvent entraîner l’échec des requêtes de synchronisation basées sur FCM, notamment les suivants :

• Un ticket STA non valide.
• Lorsque Secure Mail est réactivé en mode Doze, l’application dispose de 10 secondes pour synchroniser toutes les données du serveur.

Si l’une des conditions précédentes se produit, Secure Mail ne peut pas synchroniser les données. Par conséquent, les notifications de l’écran de verrouillage n’apparaissent pas.

Quels autres problèmes peuvent entraîner l’échec de la synchronisation basée sur APNs en arrière-plan ?

Un certain nombre de problèmes peuvent entraîner l’échec des requêtes de synchronisation basées sur APNs, notamment les suivants :

• Un ticket STA non valide.
• Une connexion réseau lente. Lorsque Secure Mail est réactivé en arrière-plan, l’application dispose de 30 secondes pour synchroniser toutes les données du serveur.
• Si la politique de protection des données est activée et que Secure Mail est réactivé par une notification APNs, lorsque l’appareil est verrouillé, Secure Mail ne peut pas accéder au magasin de données et la synchronisation ne se produit pas. Notez que c’est uniquement le cas où le système tente de démarrer Secure Mail à froid. Si un utilisateur a déjà démarré Secure Mail à un moment donné après avoir déverrouillé l’appareil, la synchronisation basée sur APNs réussit même lorsque l’appareil est verrouillé.

Si l’une des conditions précédentes se produit, Secure Mail ne peut pas synchroniser les données et ne peut donc pas afficher les notifications de l’écran de verrouillage.

Comment Secure Mail génère-t-il des notifications d’écran de verrouillage lorsque les notifications ne sont pas livrées ou qu’APNs n’est pas utilisé ?

Si APNs est désactivé, Secure Mail est toujours réactivé par les événements périodiques d’actualisation en arrière-plan des applications (Background App Refresh) d’iOS, en supposant que l’actualisation en arrière-plan des applications est activée et que le mode économie d’énergie est désactivé.

Pendant ces événements de réactivation, Secure Mail synchronise les nouveaux e-mails du serveur Exchange. Ces nouveaux e-mails peuvent ensuite être utilisés pour générer des notifications d’e-mail sur l’écran de verrouillage. Ainsi, même lorsque les notifications APNs ne sont pas livrées ou qu’APNs est désactivé, Secure Mail peut synchroniser les données en arrière-plan.

Il est important de noter que cela se produira moins en temps réel que lorsque APNs est utilisé et que les notifications APNs sont livrées à Secure Mail. Lorsque iOS achemine les notifications APNs vers Secure Mail, l’application synchronise immédiatement les données du serveur et les notifications de l’écran de verrouillage semblent être en temps réel.

Dans le cas où des réactivations par l’actualisation en arrière-plan des applications sont nécessaires, les notifications de l’écran de verrouillage ne se produisent pas en temps réel. Dans ce cas, Secure Mail est réactivé à une fréquence entièrement déterminée par iOS. Ainsi, un certain temps peut s’écouler entre ces deux situations :

• Lorsqu’un e-mail arrive dans la boîte de réception d’un utilisateur sur Exchange.
• Lorsque Secure Mail synchronise ce message et génère la notification de l’écran de verrouillage.

Notez également que Secure Mail reçoit ces réactivations périodiques même lorsque APNs est utilisé. Dans tous les cas où l’actualisation en arrière-plan des applications réactive Secure Mail, Secure Mail tente de synchroniser les données d’Exchange.

En quoi Secure Mail diffère-t-il des autres applications qui affichent du contenu sur l’écran de verrouillage ?

Une différence importante, qui peut prêter à confusion, est que Secure Mail n’affiche pas toujours les nouveaux e-mails en temps réel sur l’écran de verrouillage. Ce comportement diffère de celui de Gmail, Microsoft Outlook et d’autres applications. La raison principale de cette différence est la sécurité. Pour s’aligner sur le comportement des autres applications, le service d’écoute Citrix nécessite les informations d’identification de l’utilisateur pour s’authentifier auprès d’Exchange. Ces informations d’identification sont nécessaires pour obtenir le contenu de l’e-mail. Elles sont également nécessaires pour transmettre ce contenu d’e-mail via le service d’écoute Citrix et au service APNs d’Apple. L’approche de Citrix concernant les notifications APNs ne nécessite pas que le service d’écoute Citrix acquière ou stocke le mot de passe des utilisateurs. Le service d’écoute n’a pas accès à la boîte aux lettres ou au mot de passe des utilisateurs.

Une remarque concernant l’application de messagerie native d’iOS : iOS permet à sa propre application de messagerie de maintenir une connexion persistante avec le serveur de messagerie, ce qui garantit que les notifications sont toujours livrées. Les applications tierces autres que l’application de messagerie native ne sont pas autorisées à utiliser cette fonctionnalité.

Comportement de l’application Gmail : Google possède et contrôle à la fois l’application Gmail et le serveur Gmail. Ce comportement signifie que Google peut lire le contenu des messages et inclure ce contenu dans la charge utile de la notification APNs. Lorsque iOS reçoit cette notification APNs de Gmail, iOS effectue les opérations suivantes :

• Définit le badge de l’application sur la valeur spécifiée dans la charge utile de la notification.
• Affiche la notification de l’écran de verrouillage en utilisant le texte du message contenu dans la charge utile de la notification.

C’est une différence cruciale : c’est iOS, et non l’application Gmail, qui affiche la notification de l’écran de verrouillage, en se basant sur les données contenues dans la charge utile. En fait, iOS peut ne jamais réactiver l’application Gmail, de la même manière qu’iOS peut ne pas réactiver Secure Mail lorsqu’une notification arrive. Cependant, comme la charge utile contient l’extrait du message, iOS peut afficher la notification de l’écran de verrouillage sans qu’aucune donnée de messagerie n’ait besoin d’être synchronisée avec l’appareil.

Dans Secure Mail, cette situation est différente. Secure Mail doit d’abord synchroniser les données de message d’Exchange avant que l’application ne puisse afficher la notification de l’écran de verrouillage.

Comportement de l’application Outlook pour iOS : Microsoft contrôle Outlook pour iOS. L’organisation à laquelle l’utilisateur appartient contrôle cependant les serveurs Exchange à partir desquels les données sont obtenues. Malgré cette configuration, Outlook peut afficher des notifications d’écran de verrouillage basées sur les données que Microsoft fournit dans la notification APNs. La raison en est qu’Outlook pour iOS utilise un modèle dans lequel Microsoft stocke les informations d’identification de l’utilisateur. Microsoft accède ensuite directement à la boîte aux lettres de l’utilisateur depuis son service cloud et détermine l’existence de nouveaux e-mails.

Si de nouveaux e-mails sont disponibles, le service cloud de Microsoft génère une notification APNs qui contient les nouvelles données de messagerie. Ce modèle fonctionne de manière similaire au modèle Gmail. Dans le modèle Gmail, iOS prend simplement les données et génère une notification d’écran de verrouillage basée sur ces données. L’application Outlook iOS n’est pas impliquée dans le processus.

Remarque de sécurité importante concernant Outlook pour iOS : L’approche d’Outlook pour iOS a des implications de sécurité claires. Les organisations doivent faire confiance à Microsoft avec les mots de passe de leurs utilisateurs. Cette confiance permet à Microsoft d’accéder à la boîte aux lettres de l’utilisateur, ce qui représente un risque de sécurité.

Pour plus de FAQ spécifiques aux administrateurs sur les notifications push, consultez cet article du Centre de connaissances du support. Pour plus de FAQ spécifiques aux utilisateurs, consultez cet article du Centre de connaissances du support.