Che cos'è Windows Ready Print (WPP)?

Definizione di Windows Protected Print Mode

Windows Protected Print Mode (WPP) è una funzionalità di sicurezza di Microsoft, introdotta in Windows 11 versione 24H2 (ottobre 2024) e in Windows Server 2025, che limita la stampa a un modello senza driver basato su IPP. Quando WPP è abilitato, i driver di stampa di terze parti vengono rimossi dal sistema e l'installazione di nuovi driver viene bloccata. Funzionano in modo nativo solo le stampanti che utilizzano il driver di classe IPP di Microsoft, che comunica con Mopria-stampanti certificate, funzionano in modo nativo. La funzionalità fa parte di un'iniziativa più ampia di Microsoft volta a rafforzare lo stack di stampa di Windows contro vulnerabilità come PrintNightmare.

A partire da metà 2026, WPP sarà disattivato per impostazione predefinita su ogni versione di Windows che lo supporta. Gli utenti con diritti di amministratore locale possono attivarlo tramite le Impostazioni di Windows, dove Microsoft ora etichetta l'interruttore come "Windows Ready Print". Gli amministratori IT possono abilitare o bloccare WPP tramite Criteri di gruppo o il Registro di sistema di Windows. Microsoft ha dichiarato che WPP diventerà l'impostazione predefinita entro il 2027, anche se non è stata pubblicata una data specifica. La transizione è graduale: WPP può essere testato oggi, abilitato subito su macchine o gruppi di utenti specifici e distribuito su larga scala prima che arrivi la data in cui diventerà predefinito.

Perché Microsoft ha creato WPP

Le vulnerabilità dello spooler di stampa sono un problema ricorrente su Windows da anni. PrintNightmare (CVE-2021-34527) è stato l'esempio più noto al pubblico, ma era solo uno di una lunga serie di exploit basati sullo spooler. La causa principale era sempre la stessa: i driver di stampa di terze parti vengono eseguiti con privilegi elevati e lo spooler di stampa di Windows doveva considerare affidabile il codice del driver di ogni fornitore per poter funzionare.

WPP colma questa lacuna eliminando completamente i driver di terze parti dallo stack di stampa. La decisione si inserisce anche nella direzione più ampia del sistema operativo Windows: meno codice di terze parti con privilegi elevati, più sandboxing, più componenti verificati. Funzionalità moderne come Smart App Control e la deprecazione di alcuni driver legacy puntano nella stessa direzione. WPP è la versione di questo cambiamento applicata alla stampa.

Requisiti per WPP

Per usare WPP, l'ambiente deve disporre di:

• Un sistema operativo supportato: Windows 11, versione 24H2 o successiva, oppure Windows Server 2025 o successiva.
• Stampanti certificate Mopria. La Mopria Alliance mantiene un elenco pubblico dei dispositivi certificati. La maggior parte delle stampanti moderne dei principali produttori (Canon, HP, Epson, Brother, Lexmark, Ricoh, Toshiba, Xerox) è certificata Mopria, sebbene il supporto delle funzionalità possa variare. Le stampanti più datate e molti dispositivi specializzati (stampanti per etichette, plotter, stampanti industriali) spesso non sono certificate Mopria.
• IPP e IPPS devono essere abilitati sulla stampante. Il nome dell'impostazione varia a seconda del produttore.
• Accessibilità di rete sulla porta TCP 631. Le regole del firewall devono consentire il traffico IPP tra il computer Windows e la stampante. Se l'ambiente impone la stampa crittografata (IPPS), anche la porta 443 deve essere aperta.
• Il driver di classe IPP di Microsoft è installato per impostazione predefinita in Windows. Non è necessario scaricare driver aggiuntivi.

Per le funzionalità specifiche del fornitore che vanno oltre il set IPP standard, il produttore deve pubblicare un'app di supporto per la stampa sul Microsoft Store e l'utente o l'organizzazione devono installarla.

Abilitazione di WPP

WPP può essere abilitato in tre modi.

Tramite le Impostazioni di Windows: Impostazioni → Bluetooth e dispositivi → Stampanti e scanner → scorrete fino a Preferenze stampante → Windows Ready Print (precedentemente etichettato come Windows protected print mode) → Set up. L'utente deve avere diritti di amministratore locale.

Tramite Criteri di gruppo: Configurazione computer → Modelli amministrativi → Stampanti → Configure Windows Ready Print (precedentemente etichettato come Windows protected print) → Edit. Il modello ADMX dei Criteri di gruppo per WPP è incluso nelle versioni correnti di Windows 11 e Server 2025.

Tramite il Registro di sistema: Le chiavi si trovano in HKLM\\SOFTWARE\\Policies\\Microsoft\\Windows NT\\Printers\\WPPImpostate il seguente valore: WindowsProtectedPrintModevalore DWORD 1 a 1 per abilitarlo.

Potrebbe essere necessario un riavvio del sistema affinché la modifica abbia pieno effetto, in particolare quando si rimuovono code di stampa TCP/IP esistenti che non vengono eliminate correttamente al primo cambio di impostazione.

Disabilitazione di WPP

WPP può essere disattivato seguendo gli stessi tre percorsi in senso inverso. La disattivazione di WPP non annulla le modifiche apportate quando è stato inizialmente abilitato.

⚠️ I driver rimossi non vengono reinstallati automaticamente. Le funzionalità di Windows rimosse (Internet Printing Client, XPS, fax integrato) non vengono ripristinate automaticamente. Le code di stampa esistenti che dipendevano dai driver rimossi devono essere ricreate. Abilitare WPP è semplice. Ripristinare lo stato precedente in modo pulito richiede un progetto.