L'attivazione di Windows Protected Print Mode influisce su tutti gli utenti di un PC?

In sintesi

Sì. Windows Protected Print Mode (WPP) è un'impostazione per macchina, non per organizzazione: abilitarla si applica a ogni profilo utente su quel PC, non solo alla persona che l'ha attivata. Non potete limitarla a un singolo utente e, una volta attiva, la macchina stampa solo su stampanti con certificazione Mopria, quindi qualsiasi stampante non Mopria scompare per tutti gli utenti. Una singola persona può modificare solo il proprio PC. Distribuire la WPP in tutta l'organizzazione è un passo separato che un amministratore IT compie tramite Group Policy o Intune; su macchine condivise o postazioni hot-desk la scelta più sicura è bloccarla centralmente, così un amministratore locale non può attivarla per errore.

Windows Protected Print Mode è una funzionalità di sicurezza di Windows 11 versione 24H2 e successive. Restringe la stampa su un PC al driver di classe IPP di Microsoft integrato verso le sole stampanti con certificazione Mopria e blocca i driver di terze parti. WPP è la modalità di applicazione più rigorosa di Windows Ready Print (WRP), la piattaforma di stampa basata su IPP che prevede ancora un fallback ai driver legacy. Quando WPP è attiva, quel fallback scompare.

La modalità Windows Protected Print Mode si applica per utente o per macchina?

Windows Protected Print Mode è un'impostazione per macchina, applicata a livello OS sul client. Dal momento in cui viene abilitata tramite Impostazioni, Group Policy o Intune, determina come lo spooler di stampa carica i driver per l'intera macchina: ogni profilo utente eredita le stesse regole. Non esiste un modo per abilitarla su un profilo e lasciare un altro con la stampa legacy. WPP si applica al client stesso, non a singole stampanti o singoli utenti.

Cosa succede a stampanti e driver quando abilitate la WPP?

Abilitare la WPP modifica la configurazione di stampa della macchina in quattro modi:

• ogni stampante che si basa su un driver di terze parti viene disinstallata e il relativo driver viene rimosso dal driver store.
• le stampanti non certificate Mopria non possono essere reinstallate da nessun account mentre la WPP è attiva.
• Le stampanti con certificazione Mopria possono essere reinstallate, ma vengono ripristinate usando Windows Ready Print invece del loro driver precedente.
• Qualsiasi stampante aggiunta da un utente mentre la WPP è attiva deve essere certificata Mopria per poter essere installata.

L'abilitazione della WPP influirà sugli altri utenti di un PC condiviso?

Sì. Ogni profilo su quella macchina è soggetto alle stesse regole, quindi un collega che accede allo stesso PC perde le stesse stampanti, anche se non ha mai toccato l'impostazione. Questo rende i client Windows condivisi il luogo più rischioso in cui attivare la WPP. Le configurazioni hot-desk (banconi della reception, postazioni di laboratorio, , PC del back-office dei punti vendita, terminali di produzione) e le macchine con account condiviso (terminali delle biblioteche, computer delle aule, PC delle sale riunioni) fanno passare più persone attraverso un'unica configurazione di stampa. La stessa limitazione vale per i test degli amministratori: un amministratore non può limitare un test della WPP al proprio profilo, perché abilitarla modifica la configurazione di stampa per ogni utente che si connette in seguito.

Come testare Windows Protected Print Mode senza influenzare gli altri utenti?

Testate la WPP su hardware a cui nessun altro accede. Usate una postazione di test dedicata o limitate la distribuzione tramite Group Policy o Intune a un'OU che contenga solo macchine di test. Lo scoping GPO per utente non serve, perché la WPP è un criterio lato computer che si applica alla macchina indipendentemente da chi effettua l'accesso. Abilitando la WPP dalle Impostazioni appare anche un avviso che le stampanti incompatibili verranno rimosse e viene richiesta conferma, quindi potete annullare prima di impegnarvi su una macchina di cui non siete sicuri.

Come bloccare Windows Protected Print con una Group Policy?

Bloccate la WPP con il criterio "Configure Windows protected print" sotto Configurazione computer > Modelli amministrativi > Stampanti. Il criterio ha tre stati:

• Attivato attiva la WPP e impedisce che venga disattivata localmente.
• Disattivato disattiva la WPP su tutta la macchina e impedisce a un admin locale di attivarla dalle Impostazioni.
• Non configurato lascia il toggle nelle mani degli utenti. Questa è l'impostazione predefinita.

In Intune, l'equivalente è il CSP del criterio ConfigureWindowsProtectedPrint.

Scegliete l'impostazione che corrisponde alla vostra baseline di sicurezza. Dove la WPP fa parte della baseline, bloccate la policy su Attivato, così un admin locale non potrà disattivarla per recuperare una stampante non Mopria. Dove il parco macchine non è pronto, bloccatela su Disattivato, così nessuno la abilita per errore su una postazione condivisa. Regola pratica: non lasciate il toggle WPP attivabile/disattivabile dalle Impostazioni di admin locale su macchine condivise o hot-desk.

Come disattivare la WPP se è stata abilitata per errore?

Se la WPP è stata attivata per errore e le stampanti di altri utenti sono scomparse, ci sono due vie di ritorno:

1. se è stata impostata localmente, disattivate la WPP nelle Impostazioni o annullate la Group Policy, quindi reinstallate manualmente le stampanti non Mopria rimosse. Le stampanti installate mentre la WPP era attiva continuano a utilizzare Windows Ready Print anche dopo la disattivazione della WPP, a meno che non le rimuoviate e reinstalliate.
2. se è stata imposta tramite Group Policy e non potete modificarla sulla macchina, l'amministratore che ha applicato il criterio deve aggiornare l'ambito dell'OU o il GPO stesso. Le modifiche locali non sovrascrivono una policy imposta.

ezeep funziona con Windows Protected Print Mode?

Sì, ezeep esegue il Cloud rendering dei processi di stampa e invia dati pronti per la stampa al dispositivo di output, quindi non dipende dal client Windows che carica un driver. Questo è esattamente ciò che WPP limita, ed è proprio la parte che ezeep aggira. Le stampanti fisiche con cui ezeep comunica non devono avere certificazione Mopria, perché il rendering e la consegna al dispositivo avvengono al di fuori del modello dei driver di Windows. Su una postazione condivisa in cui WPP è abilitata, la stampa tramite ezeep rimane disponibile per ogni profilo utente su quella macchina: il percorso di Cloud rendering inoltra i processi alla stampante indipendentemente dallo stato WPP della macchina.

È un dettaglio nel quadro generale di WPP, ma un utile indicatore diagnostico. Se le vostre postazioni condivise stampano tramite ezeep, continueranno a funzionare durante una transizione a WPP. Le stampanti legacy vicine, invece, no.

Parlate con un esperto della vostra configurazione WPP

Inviateci una richiesta di contatto, e possiamo esaminare insieme la vostra configurazione e come ezeep possa aiutarvi a continuare a stampare con Windows Protected Print Mode attivata.

Siete pronti ad attivare la WPP?

Consultate prima la nostra checklist.

Checklist gratuita