¿La activación de Windows Protected Print Mode afecta a todos los usuarios de un ordenador?

En resumen

Sí. Windows Protected Print Mode (WPP) es un ajuste que se aplica a cada equipo y no a cada organización, por lo que al habilitarlo se aplica a todos los perfiles de usuario de ese PC, no solo a la persona que lo activó. No hay forma de limitarlo a un solo usuario y, una vez activado, el equipo solo imprime en impresoras con certificación Mopria, de modo que cualquier impresora sin Mopria desaparece para todos los que lo utilizan. Un usuario solo puede cambiar su propio PC. El despliegue de WPP en toda la organización es un paso aparte que un administrador de TI realiza a través de una GPO o Intune, y en equipos compartidos o de uso rotativo, la opción más segura es bloquearlo de forma centralizada para que un administrador local no pueda cambiarlo por accidente.

Windows Protected Print Mode es una función de seguridad en Windows 11 versión 24H2 y posteriores. Restringe la impresión de un PC a través del controlador de clase IPP de Microsoft integrado a impresoras con certificación Mopria y bloquea los controladores de impresión de terceros. WPP es el modo de aplicación estricta de Windows Ready Print (WRP), la plataforma de impresión más amplia basada en IPP que todavía permite un recurso a un controlador heredado. Cuando WPP está activo, ese recurso desaparece.

¿Windows Protected Print Mode es por usuario o por equipo?

Windows Protected Print Mode es un ajuste por equipo, que se aplica a nivel del sistema operativo en el cliente. En el momento en que se habilita a través de los Ajustes, la GPO o Intune, gobierna cómo el print spooler carga los controladores para todo el equipo, y cada perfil de usuario hereda las mismas reglas. No hay forma de habilitarlo para un perfil y dejar otro con la impresión heredada. WPP se aplica al propio cliente, no a impresoras individuales ni a usuarios individuales.

¿Qué les pasa a las impresoras y a los controladores cuando activas WPP?

Al activar WPP, la configuración de impresión del equipo cambia de cuatro maneras:

• Toda impresora que dependa de un controlador de un tercero se desinstala, y su controlador se elimina del almacén de controladores.
• Las impresoras sin certificación Mopria no se pueden reinstalar desde ninguna cuenta mientras WPP esté activo.
• Las impresoras con certificación Mopria se pueden reinstalar, pero vuelven con Windows Ready Print en lugar de su antiguo controlador.
• Cualquier impresora que un usuario añada mientras WPP esté activado tiene que tener la certificación Mopria para instalarse.

¿Activar WPP afectará a otras personas en un PC compartido?

Sí. Todos los perfiles en ese equipo están sujetos a las mismas reglas, por lo que un compañero que inicie sesión en el mismo PC pierde las mismas impresoras, aunque nunca haya tocado el ajuste. Esto hace que los clientes de Windows compartidos sean el lugar más arriesgado para activar WPP. Las configuraciones de uso rotativo (mostradores de recepción, estaciones de trabajo de laboratorio, , PC de trastienda de comercios, terminales de fabricación) y los equipos con cuentas compartidas (terminales de biblioteca, ordenadores de aulas, PC de salas de conferencias) hacen que varias personas pasen por una única configuración de impresión. La misma restricción afecta a las pruebas de los administradores: un administrador no puede limitar una prueba de WPP a su propio perfil, porque al activarlo cambia la configuración de impresión para cada usuario que inicie sesión después.

¿Cómo probar Windows Protected Print Mode sin afectar a otros usuarios?

Prueba WPP en un hardware en el que nadie más inicie sesión. Utiliza una estación de trabajo de prueba dedicada o limita el despliegue a través de una GPO o Intune a una unidad organizativa que contenga solo equipos de prueba. La limitación de GPO por usuario no ayudará, porque WPP es una política del lado del equipo que se aplica a la máquina independientemente de quién inicie sesión. Al activar WPP desde los Ajustes también se muestra una advertencia de que las impresoras incompatibles serán eliminadas y te pide que confirmes, para que puedas echarte atrás antes de comprometerte en un equipo del que no estás seguro.

¿Cómo bloquear Windows Protected Print con una GPO?

Bloquea WPP con la directiva "Configure Windows protected print" en Configuración del equipo > Plantillas administrativas > Impresoras. La directiva tiene tres estados:

• Habilitado activa WPP y evita que se desactive localmente.
• Deshabilitado desactiva WPP en toda la máquina e impide que un administrador local lo active en Ajustes.
• No configurado deja la opción en manos de los usuarios. Esta es la opción por defecto.

En Intune, el equivalente es el CSP de la directiva ConfigureWindowsProtectedPrint.

Elige la opción que se ajuste a tu base de referencia de seguridad. Donde WPP sea parte de la base de referencia, bloquéalo como habilitado para que un administrador local no pueda deshabilitarlo para recuperar una impresora sin certificación Mopria. Donde el parque de impresoras no esté listo, bloquéalo como deshabilitado, para que nadie lo active en una estación de trabajo compartida por accidente. La regla general: no dejes que WPP se pueda activar o desactivar desde los Ajustes de administrador local en equipos compartidos o de uso rotativo.

¿Cómo se desactiva WPP si se activó por error?

Si WPP se activó por error y han desaparecido impresoras para otros usuarios, hay dos formas de volver atrás:

1. Si se configuró localmente, desactiva WPP en los Ajustes o revierte la GPO, y luego reinstala manualmente cualquier impresora sin certificación Mopria que se haya eliminado. Las impresoras que se instalaron mientras WPP estaba activado siguen usando Windows Ready Print después de desactivar WPP, a menos que las elimines y reinstales.
2. Si se aplicó mediante una GPO y no puedes cambiarlo en el equipo, el administrador que estableció la directiva tiene que actualizar el ámbito de la unidad organizativa o la propia GPO. Los cambios locales no anularán una directiva aplicada.

¿Funciona ezeep con Windows Protected Print Mode?

Sí, ezeep procesa las impresiones mediante cloud rendering y envía datos listos para imprimir al dispositivo de salida, por lo que no depende de que el cliente de Windows cargue un controlador de impresora. Eso es exactamente lo que restringe WPP, y es la parte que ezeep evita. Las impresoras físicas con las que ezeep se comunica no necesitan la certificación Mopria, porque el renderizado y la entrega al dispositivo ocurren fuera del modelo de controladores de Windows. En una estación de trabajo compartida donde WPP está habilitado, la impresión a través de ezeep sigue estando disponible para todos los perfiles de usuario en esa máquina, y la ruta de cloud rendering reenvía las impresiones a la impresora independientemente del estado de WPP de la máquina.

Es una cuestión menor en el esquema de WPP, pero un diagnóstico útil. Si tus estaciones de trabajo compartidas imprimen a través de ezeep, estas seguirán funcionando durante una transición a WPP. Las impresoras con controladores heredados que están a su lado no lo harán.

Habla con un experto sobre tu configuración de WPP

Envíanos una solicitud de contactoy podremos analizar juntos tu configuración y cómo ezeep puede ayudarte a seguir imprimiendo con el modo Windows Protected Print activado.

¿Estás listo para activar WPP?

Repasa primero nuestra checklist.

Checklist gratuito