L'activation du mode Windows Protected Print affecte-t-elle tous les utilisateurs d'un PC ?

En bref

Oui. Le mode Windows Protected Print (WPP) est un paramètre par machine, pas par organisation : lorsqu'il est activé, il s'applique à tous les profils du PC, pas seulement à la personne qui l'a activé. Il n'existe aucun moyen de le limiter à un seul utilisateur et, une fois activé, la machine n'imprime que vers les imprimantes certifiées Mopria, de sorte que toute imprimante non certifiée Mopria disparaît pour tous les utilisateurs. Une personne ne peut modifier que son propre PC. Le déploiement de WPP à l'échelle de l'organisation se fait séparément par un administrateur IT via une stratégie de groupe (GPO) ou Intune ; sur des postes partagés ou en libre-service, la bonne pratique consiste à le verrouiller de manière centralisée pour qu'un administrateur local ne puisse pas le faire basculer par erreur.

Le mode Windows Protected Print est une fonctionnalité de sécurité de Windows 11, version 24H2 et ultérieures. Il limite un PC à l'impression via le pilote de classe IPP intégré de Microsoft vers des imprimantes certifiées Mopria et bloque les pilotes d'impression tiers. WPP est le mode d'application strict de Windows Ready Print (WRP), la plateforme d'impression basée sur IPP qui offre encore un repli vers les pilotes hérités. Quand WPP est activé, ce repli disparaît.

Le mode Windows Protected Print s'applique-t-il par utilisateur ou par machine ?

Le mode Windows Protected Print est un réglage par machine, appliqué au niveau du client OS. Dès qu'il est activé via les Paramètres, une GPO ou Intune, il contrôle la façon dont le spouleur d'impression charge les pilotes pour l'ensemble de la machine, et chaque profil en hérite. Il n'est pas possible de l'activer pour un profil sans affecter les autres. WPP s'applique au poste lui-même, pas aux imprimantes ou aux utilisateurs individuellement.

Que deviennent les imprimantes et les pilotes quand vous activez WPP ?

L'activation de WPP modifie la configuration d'impression de la machine de quatre façons :

• Toute imprimante dépendant d'un pilote tiers est désinstallée et son pilote est supprimé du magasin de pilotes.
• Les imprimantes non certifiées Mopria ne peuvent pas être réinstallées depuis aucun compte tant que WPP est actif.
• Les imprimantes certifiées Mopria peuvent être réinstallées, mais elles reviennent sous Windows Ready Print plutôt que sous leur ancien pilote.
• Toute imprimante ajoutée par un utilisateur alors que WPP est activé doit être certifiée Mopria pour pouvoir s'installer.

L'activation de WPP affectera-t-elle d'autres personnes sur un PC partagé ?

Oui. Tous les profils de la machine sont soumis aux mêmes règles : un collègue qui se connecte au même PC perdra les mêmes imprimantes, même s'il n'a jamais modifié le réglage. Les postes clients Windows partagés sont donc les environnements les plus sensibles pour activer WPP. Les configurations en libre-service (postes d'accueil, stations de travail de laboratoire, , PC d'arrière-boutique, terminaux de production) et les machines à comptes partagés (terminaux de bibliothèque, ordinateurs de salle de classe, PC de salle de conférence) font passer plusieurs personnes par une même configuration d'impression. La contrainte est aussi gênante pour les tests administrateurs : un administrateur ne peut pas limiter un test WPP à son propre profil, car l'activation modifie la configuration d'impression pour tous les utilisateurs qui se connecteront ensuite.

Comment tester Windows Protected Print sans impacter les autres utilisateurs ?

Testez WPP sur du matériel sur lequel personne d'autre ne se connecte. Utilisez une station de test dédiée, ou ciblez le déploiement via une GPO ou Intune vers une OU contenant uniquement des machines de test. Le ciblage par utilisateur via la GPO n'aidera pas, car WPP est une stratégie côté ordinateur qui s'applique à la machine quel que soit l'utilisateur. L'activation de WPP depuis les Paramètres affiche aussi un avertissement indiquant que les imprimantes incompatibles seront supprimées et demande confirmation — vous pouvez donc annuler avant de valider sur une machine dont vous n'êtes pas sûr.

Comment verrouiller Windows Protected Print avec une stratégie de groupe ?

Verrouillez WPP avec la stratégie « Configure Windows protected print » sous Configuration ordinateur > Modèles d'administration > Imprimantes. La stratégie comporte trois états :

• Activé active WPP et empêche sa désactivation localement.
• Désactivé désactive WPP sur la machine et empêche un administrateur local de l'activer dans les Paramètres.
• Non configuré laisse l'option aux utilisateurs. C'est l'état par défaut.

Dans Intune, l'équivalent est le CSP de stratégie ConfigureWindowsProtectedPrint.

Choisissez l'option qui correspond à votre référentiel de sécurité. Si WPP fait partie du référentiel, verrouillez-le en activé pour empêcher un administrateur local de le désactiver pour récupérer une imprimante non Mopria. Si le parc n'est pas prêt, verrouillez-le en désactivé pour éviter qu'on l'active accidentellement sur un poste partagé. Règle générale : ne laissez pas la bascule WPP accessible depuis les Paramètres d'un administrateur local sur des machines partagées ou en libre-service.

Comment désactiver WPP s'il a été activé par erreur ?

S'il a été activé par erreur et que des imprimantes ont disparu pour d'autres utilisateurs, deux options s'offrent à vous :

1. S'il a été activé localement, désactivez WPP dans les Paramètres ou annulez la GPO, puis réinstallez manuellement les imprimantes non Mopria qui ont été supprimées. Les imprimantes installées pendant que WPP était activé continuent d'utiliser Windows Ready Print après la désactivation, à moins que vous ne les supprimiez et les réinstalliez.
2. S'il est appliqué via une GPO et que vous ne pouvez pas le modifier sur la machine, l'administrateur ayant défini la stratégie doit mettre à jour la portée de l'OU ou la GPO elle‑même. Les modifications locales ne peuvent pas outrepasser une stratégie appliquée de force.

ezeep fonctionne-t-il avec le mode Windows Protected Print ?

Oui. ezeep effectue le rendu des tâches d'impression dans le cloud et envoie des données prêtes à imprimer au périphérique de sortie, il ne dépend donc pas du chargement d'un pilote d'imprimante par le client Windows. C'est précisément ce que WPP restreint, et c'est ce que ezeep contourne. Les imprimantes physiques avec lesquelles ezeep communique n'ont pas besoin d'être certifiées Mopria, car le rendu et la livraison au périphérique se font en dehors du modèle de pilotes Windows. Sur une station de travail partagée où WPP est activé, l'impression via ezeep reste disponible pour chaque profil utilisateur de la machine, et le rendu dans le cloud transmet les tâches à l'imprimante quel que soit l'état WPP du poste.

C'est un point mineur dans le cadre de WPP, mais un diagnostic utile. Si vos postes partagés impriment via ezeep, ils continueront de fonctionner lors d'une transition vers WPP. Les imprimantes utilisant des pilotes hérités à côté d'elles, en revanche, ne fonctionneront plus.

Parlez à un expert de votre configuration WPP

Envoyez-nous une demande de contact, et nous pourrons examiner votre configuration et voir comment ezeep peut vous aider à continuer d'imprimer avec le mode Windows Protected Print activé.

Êtes-vous prêt à activer WPP ?

Parcourez d'abord notre liste de contrôle.

Télécharger la liste de contrôle