By Brock McKenna on octubre 8, 2026
Los controladores de impresión son una superficie de ataque real. Según Microsoft, los errores relacionados con la impresión representaron el 9 % de los casos comunicados al Microsoft Security Response Center durante un período de tres años, y el análisis de Microsoft reveló que el modo Windows Protected Print (WPP) podría haber mitigado más de la mitad de las vulnerabilidades relacionadas con la impresión examinadas. Avanzar hacia una arquitectura de impresión más segura e independiente de los controladores tiene sentido.
Pero, ¿qué significa esto para las organizaciones que utilizan Azure Virtual Desktop (AVD), Citrix o Remote Desktop Services (RDS)?
Los entornos de escritorio virtuales han dependido durante mucho tiempo de diferentes métodos para conectar las sesiones remotas con las impresoras físicas. Algunos requieren controladores específicos del fabricante en los hosts de sesión, mientras que otros se basan en la redirección de impresoras, tecnologías de impresión universal o servicios en la nube. WPP no afecta a todos estos métodos por igual, por lo que es importante comprender las dependencias antes de cambiar nada.
¿Por qué Windows Protected Print supone un reto para los escritorios virtuales?
El reto fundamental de la impresión en VDI es que las aplicaciones se ejecutan en sesiones remotas mientras que las impresoras suelen estar en otro lugar. Las arquitecturas de impresión tradicionales abordan esto de diferentes maneras:
La redirección de impresoras hace que las impresoras conectadas localmente estén disponibles dentro de la sesión. Remote Desktop Easy Print de Microsoft, por ejemplo, evita la necesidad de controladores específicos del fabricante en el host de sesión. Sin embargo, los nombres de las impresoras redirigidas pueden incluir sufijos específicos de la sesión, lo que puede causar problemas a las aplicaciones que esperan nombres de impresora fijos.
Las tecnologías de impresión universal, como Citrix Universal Print Driver y Windows Easy Print, reducen la necesidad de instalar controladores de cada fabricante en los hosts de sesión. Dependiendo de la configuración, pueden introducir otras consideraciones, como el uso del ancho de banda y la compatibilidad con funcionalidades de impresora especializadas.
La impresión directa en red permite a los hosts de sesión enviar impresiones a impresoras de red. Esto puede funcionar bien, pero puede requerir controladores del fabricante y una conectividad fiable entre los hosts de sesión y las impresoras.
Para un análisis más detallado de estas arquitecturas, consulta Cómo funciona la impresión en AVD, Citrix y RDS y por qué suele fallar.
La distinción importante es que no todos los métodos de impresión VDI requieren controladores de terceros en el host de sesión. Su compatibilidad con WPP depende de los componentes implicados.
¿Qué cambia WPP para un host de sesión?
El modo Windows Protected Print, introducido con Windows 11 24H2 y compatible con Windows Server 2025, restringe la impresión a la arquitectura integrada de Microsoft basada en IPP. Los controladores de impresión de terceros no se pueden utilizar mientras WPP está habilitado.
Para los administradores de VDI, esto plantea tres consideraciones.
Controladores existentes en imágenes maestras. Si una imagen de AVD, Citrix o RDS incluye controladores de impresión específicos del fabricante, WPP impide que se utilicen. Activar WPP también elimina las impresoras instaladas que dependen de controladores de terceros.
Redirección de impresoras. No todas las impresoras redirigidas requieren controladores del fabricante en el host de sesión. Sin embargo, debes verificar si tu configuración de redirección específica y tus componentes de impresión funcionan con WPP activado.
Impresoras antiguas y especializadas. Es posible que los dispositivos que dependen de controladores antiguos del fabricante ya no estén disponibles a través de las instalaciones convencionales de impresoras en Windows. Las impresoras de etiquetas, los equipos multifunción más antiguos y otro hardware especializado merecen una atención especial. Las arquitecturas de impresión alternativas pueden permitir que algunos de estos dispositivos sigan siendo utilizables.
WPP no es obligatorio a día de hoy, y Microsoft no ha anunciado cuándo se convertirá en la opción por defecto. Sin embargo, la transición más amplia de Microsoft para abandonar los controladores de impresión antiguos ya está en marcha:
- 15 de enero de 2026: Microsoft dejó de aceptar de forma rutinaria nuevos controladores de impresora de terceros para su publicación a través de Windows Update en Windows 11, Windows Server 2025 y versiones posteriores, con excepciones consideradas de forma individual.
- 1 de julio de 2026: Windows empezó a priorizar el controlador de clase IPP integrado al seleccionar los controladores de impresora.
- 1 de julio de 2027: Microsoft dejará de aceptar actualizaciones que no sean de seguridad para controladores de impresora de terceros a través de Windows Update.
Los controladores de impresora de terceros existentes seguirán estando disponibles para su instalación a través de Windows Update, y los fabricantes podrán seguir proporcionando controladores a través de paquetes de instalación independientes. La hoja de ruta de Microsoft no significa que los controladores de impresora antiguos vayan a dejar de funcionar de repente en julio de 2027.
No obstante, si mantienes imágenes maestras de VDI deberías plantearte durante cuánto tiempo quieres depender de controladores específicos del fabricante. La hoja de ruta oficial de Microsoft deja clara la dirección a seguir.
Antes de activar WPP: una lista de comprobación de compatibilidad para VDI
Antes de activar WPP en un entorno AVD, Citrix o RDS, debes determinar dónde existen realmente tus dependencias de impresión.
Empieza por los controladores. ¿Están instalados los controladores específicos del fabricante en las imágenes maestras, se añaden dinámicamente a los hosts de sesión o se usan solo en tus dispositivos de punto final? WPP afecta al sistema Windows en el que lo activas, por lo que la distinción es importante.
A continuación, identifica qué métodos y aplicaciones de impresión dependen de esos controladores. Presta especial atención a las impresoras especializadas, a las funcionalidades específicas del fabricante y a las aplicaciones configuradas para usar nombres de impresora fijos.
Por último, prueba WPP en un host de sesión representativo antes de cambiar las imágenes de producción. Verifica la disponibilidad de las impresoras, la compatibilidad de las aplicaciones y los flujos de trabajo esenciales. Microsoft confirma que activar WPP elimina las impresoras que usan controladores de terceros, y que desactivarlo después no restaura automáticamente esas configuraciones de impresora.
El objetivo no es necesariamente reemplazar tu infraestructura de impresión de inmediato; se trata de identificar las dependencias antes de que se conviertan en problemas de compatibilidad.
Impresión en la nube: saca los controladores de impresora de la sesión VDI
Una forma de reducir el impacto de WPP es mover el renderizado específico de la impresora fuera del escritorio virtual.
Con ezeep, las impresiones se renderizan en la nube en lugar de a través de controladores de renderizado específicos del fabricante instalados en los hosts de sesión. Las impresiones procesadas se entregan a las impresoras a través del ezeep Hub o de un Connector de software apropiado, según el despliegue.
Esto reduce la necesidad de mantener controladores específicos del fabricante en las imágenes maestras y evita depender de la redirección de impresoras convencional de RDP o ICA para las impresiones gestionadas por ezeep.
ezeep también es compatible con el modo Windows Protected Print. Según la documentación oficial de ezeep, la ezeep Print App for Windows (mayo de 2026 o posterior) crea colas de impresión IPP nativas utilizando el controlador de clase IPP integrado de Microsoft. El renderizado específico de la impresora se realiza en la nube, lo que permite usar las impresoras gestionadas por ezeep sin desactivar WPP.
Este enfoque también puede ayudar a las organizaciones a seguir usando impresoras más antiguas que no sean Mopria, siempre que esos dispositivos sean compatibles y estén conectados mediante una configuración de ezeep adecuada.
Para los entornos VDI, las ventajas prácticas incluyen:
- No se requieren controladores de renderizado específicos del fabricante en los hosts de sesión para las impresoras compatibles gestionadas por ezeep.
- Reducción del mantenimiento de los controladores y de los posibles conflictos de compatibilidad en las imágenes maestras.
- Impresión sin depender de la redirección tradicional de impresoras del cliente.
- Gestión y asignación centralizadas de impresoras.
Los administradores deben verificar la compatibilidad de las aplicaciones y el comportamiento multisesión antes de activar WPP en los hosts de producción.
El problema oculto de la impresión en VDI: los nombres de impresora fijos
Antes de cambiar la configuración de las impresoras, hay una pregunta que vale la pena hacerse: ¿qué aplicaciones de tu entorno dependen de un nombre de impresora específico?
Las aplicaciones empresariales, especialmente los sistemas ERP, suelen estar configuradas para imprimir en colas de impresión con nombres específicos. En entornos multisesión compartidos, los nombres de las impresoras redirigidas pueden incluir sufijos específicos de la sesión, lo que puede impedir que las aplicaciones encuentren la impresora esperada.
La ezeep Print App for Services permite la impresión automatizada desde aplicaciones de Windows, incluidos los sistemas ERP. Se puede utilizar como parte de una configuración de impresión que evite la redirección de impresoras convencional y dependiente de la sesión. Las aplicaciones que requieren nombres de colas de impresión fijos deben probarse con la configuración elegida.
Antes de migrar, identifica qué aplicaciones dependen de nombres de impresora fijos y cómo se mantendrán esas dependencias. Si la respuesta es «varias aplicaciones y nadie está seguro de cuáles», eso ya es un hallazgo importante que debería influir en la secuencia de migración.
Cómo preparar tu entorno VDI para Windows Protected Print
Windows Protected Print no significa que toda configuración de impresión VDI existente deba ser reemplazada. Pero el abandono por parte de Microsoft de los controladores de impresión de terceros heredados hace que sea importante entender de qué componentes depende tu entorno.
Para las organizaciones que mantienen imágenes maestras (golden images) y configuraciones de impresora complejas, el cloud rendering ofrece una forma de reducir esas dependencias mientras se preparan para una arquitectura de impresión de Windows más segura.
