Qu'est-ce que Windows Protected Print Mode (WPP) ?

Définition de Windows Protected Print Mode

Windows Protected Print Mode (WPP) est une fonctionnalité de sécurité de Microsoft, introduite avec Windows 11 version 24H2 (octobre 2024) et Windows Server 2025, qui limite l'impression à un modèle sans pilote basé sur le protocole IPP. Lorsque le WPP est activé, les pilotes d'impression tiers sont supprimés du système et l'installation de nouveaux pilotes est bloquée. Seules les imprimantes utilisant le pilote de classe IPP de Microsoft, qui communique avec Mopriales imprimantes certifiées fonctionnent nativement. La fonctionnalité s'inscrit dans la démarche plus large de Microsoft visant à renforcer l'environnement d'impression de Windows contre des vulnérabilités telles que PrintNightmare.

À la mi-2026, le WPP sera désactivé par défaut sur toutes les versions de Windows qui le prennent en charge. Les utilisateurs disposant des droits d'administrateur local peuvent l'activer via les paramètres de Windows. Les administrateurs IT peuvent activer ou bloquer le WPP via une stratégie de groupe (Group Policy) ou le Registre Windows. Microsoft a indiqué que le WPP deviendra le mode par défaut d'ici 2027, sans préciser de date. La transition est progressive : WPP peut être testé dès aujourd'hui, activé sur des machines ou des groupes d'utilisateurs spécifiques, puis déployé plus largement avant que le paramètre par défaut ne change.

Pourquoi Microsoft a développé le WPP

Les vulnérabilités du spouleur d'impression constituent un problème récurrent sur Windows depuis des années. PrintNightmare (CVE-2021-34527) en était l'exemple le plus médiatisé, mais il s'inscrit dans une longue série d'exploits reposant sur le spouleur. La cause fondamentale était la même : les pilotes d'impression tiers s'exécutent avec des privilèges élevés, et le spouleur d'impression de Windows devait faire confiance au code de chaque fournisseur pour fonctionner.

Le WPP comble cette faille en supprimant complètement les pilotes tiers de la pile d'impression. La décision s'aligne aussi sur l'orientation générale du système d'exploitation Windows : moins de code tiers avec des droits élevés, plus d'isolation en bac à sable, davantage de composants vérifiés. Des fonctionnalités modernes comme Smart App Control et l'abandon de certains pilotes hérités vont dans le même sens. Le WPP est la déclinaison de ce mouvement pour l'impression.

Prérequis pour WPP

Pour utiliser WPP, un environnement doit disposer de :

• Un système d'exploitation pris en charge : Windows 11 version 24H2 ou ultérieure, ou Windows Server 2025 ou une version ultérieure.
• Des imprimantes certifiées Mopria. L'Alliance Mopria maintient une liste publique des appareils certifiés. La plupart des imprimantes modernes des grands fabricants (Canon, HP, Epson, Brother, Lexmark, Ricoh, Toshiba, Xerox) sont certifiées Mopria, bien que la prise en charge des fonctionnalités puisse varier. Les imprimantes plus anciennes et de nombreux appareils spécialisés (imprimantes d'étiquettes, traceurs, imprimantes industrielles) ne sont souvent pas certifiés Mopria.
• IPP et IPPS activés sur l'imprimante. Le nom du paramètre varie selon le fabricant.
• Accessibilité réseau via le port TCP 631. Les règles de pare-feu doivent autoriser le trafic IPP entre la machine Windows et l'imprimante. Si l'environnement impose l'impression chiffrée (IPPS), le port 443 doit également être débloqué.
• Le pilote de classe IPP de Microsoft est installé par défaut avec Windows. Aucun téléchargement de pilote supplémentaire n'est requis.

Pour les fonctionnalités spécifiques au fabricant qui vont au-delà de l'ensemble IPP standard, le fabricant doit publier une Print Support App sur le Microsoft Store, et l'utilisateur ou l'organisation doit l'installer.

Activation de WPP

WPP peut être activé de trois manières.

Via les Paramètres de Windows : Paramètres → Bluetooth et appareils → Imprimantes et scanners → faites défiler jusqu'à Préférences de l'imprimante → Mode d'impression protégé de Windows → Configurer. L'utilisateur doit disposer des droits d'administrateur local.

Via la stratégie de groupe : Configuration ordinateur → Modèles d'administration → Imprimantes → Configurer l'impression protégée de Windows → Modifier. Le modèle ADMX de la stratégie de groupe pour WPP est inclus dans les versions actuelles de Windows 11 et de Windows Server 2025.

Via le Registre : Les clés se trouvent sous HKLM\\SOFTWARE\\Policies\\Microsoft\\Windows NT\\Printers\\WPP. Définissez la WindowsProtectedPrintModevaleur DWORD sur 1 1 pour activer.

Un redémarrage du système peut être nécessaire pour que la modification prenne pleinement effet, en particulier lors de la suppression de files d'impression TCP/IP existantes qui ne sont pas effacées lors du premier basculement.

Désactivation de WPP

WPP peut être désactivé en utilisant les mêmes trois méthodes, mais en sens inverse. La désactivation de WPP n'annule pas les modifications effectuées lors de son activation initiale.

⚠️ Les pilotes supprimés ne se réinstallent pas automatiquement. Les fonctionnalités Windows supprimées (Client d'impression Internet, XPS, télécopie intégrée) ne sont pas restaurées d'elles‑mêmes. Les files d'impression existantes qui dépendaient des pilotes supprimés doivent être recréées. Activer WPP est simple. Revenir en arrière proprement est un projet à part entière.