Windows Protected Print: Imprimir sem Drivers de Terceiros

O que é o Windows Protected Print

O Windows Protected Print (WPP) é o novo modo de impressão do Windows 11 (a partir da 24H2) que trabalha apenas com a pilha Windows Ready Print: o Windows usa o padrão Mopria, e todos os drivers de impressão de terceiros ficam excluídos do processo. Em vez de cada fabricante instalar o seu driver com os seus serviços, é o Windows que comunica directamente com a impressora através do padrão do consórcio Mopria.

A vantagem imediata é de segurança. A Microsoft refere que o modo mitiga mais de metade das vulnerabilidades de segurança já reportadas ao subsistema de impressão do Windows — o mesmo subsistema onde nasceram os incidentes PrintNightmare. Sem drivers de terceiros a correr no spooler, a superfície de ataque do subsistema de impressão reduz significativamente.

Cuidado: este artigo cobre o WPP em clientes Windows 11. A gestão de servidores de impressão com WPP desligado a partir de um cliente com WPP ligado não é possível — secção 4 explica porquê.

O que o WPP muda na prática

Área Com driver de terceiros Com Windows Protected Print
Instalação de impressora Instalar pacote do fabricante (exe/INF) Sem driver: o Windows instala a partir do padrão Mopria
Driver driver de terceiros no spooler pilha Windows Ready Print incluída no Windows
Actualizações driver actualizado pelo fabricante pilha incluída no Windows e mantida pelo sistema, sem driver externo
Vulnerabilidades do spooler expostas aos drivers mitigadas mais de metade dos casos
Funcionalidades exclusivas (cores, gaveta, ícones) disponíveis via Print Support App (PSA) do fabricante

O modo foi desenhado para funcionar com impressoras Mopria certificadas. Mais de 120 milhões de impressoras já vendidas cumprem o padrão, o que abrange a maioria das impressoras recentes. A lista de produtos certificados está no site do consórcio Mopria.

Como ligar o WPP num cliente

No cliente Windows: Definições → Bluetooth e dispositivos → Impressoras e scanners. No fundo da página, em Preferências da impressora, entra em Modo Windows protected print e clica em Configurar. O assistente desinstala as impressoras instaladas com driver de terceiros — incluindo as certificadas Mopria instaladas com driver próprio — e o driver sai do driver store; as compatíveis têm de ser reinstaladas, passando a trabalhar com o Windows Ready Print. Se o modo for desligado e a impressora reinstalada com o INF do fabricante, regressa o driver original.

Para ambientes geridos, o modo pode ser forçado por duas vias:

Local Group Policy Editor (GPO): Computer Configuration → Administrative Templates → Printers → política Configure Windows protected print → Enabled.

Intune (OMA-URI custom):


OMA-URI: ./Device/Vendor/MSFT/Policy/Config/Printers/ConfigureWindowsProtectedPrint
Data Type: String
Value: <enabled/>

Quando o WPP está forçado por GPO, o utilizador local não consegue desligar a funcionalidade sem contacto com o administrador — a opção de desligar fica bloqueada em Definições.

Limitações: servidores de impressão e scanners

O detalhe mais crítico para quem gere um ambiente misto: a partir de um cliente com WPP ligado, não é possível usar o Print Management para gerir servidores de impressão com WPP desligado. Porquê: o Windows Ready Print só fala com impressoras Mopria certificadas, e os servidores que continuam com WPP desligado dependem de drivers e protocolos legacy que a nova pilha não entende. A mensagem ao administrador é simples: migrar cliente e servidores juntos, ou aceitar que a gestão remota deixa de funcionar.

Os scanners são outro limite conhecido. Alguns dispositivos certificados Mopria não expõem o scanner no WPP — só a parte de impressão. Antes de forçar o modo numa frota com multifuncionais, verificar cada modelo na lista de produtos Mopria para confirmar se o scanner funciona. Os modelos sem suporte a scanner por baixo do WPP ficam com a funcionalidade de digitalização indisponível.

Para impressoras com funcionalidades exclusivas (bandejas especiais, cores especiais, leitura de token) o fabricante fornece um Print Support App (PSA) — a aplicação de suporte que reintroduz essa configuração sem voltar a instalar o driver.

Erros comuns

Erro Causa Correcção
Impressora deixou de imprimir após ligar o WPP dispositivo não é Mopria certificado desligar WPP nesse PC ou substituir por modelo certificado
Scanner indisponível no multifuncional scanner não suportado pelo WPP verificar o modelo na lista Mopria; usar app do fabricante para digitalizar
Não é possível gerir servidores de impressão no Print Management cliente com WPP ligado, servidor desligado migrar o servidor para WPP ou gerir de um cliente com WPP desligado
Faltam impressoras de software: XPS Document Writer, Fax, “OneNote (Desktop)” O modo remove impressoras de software não suportadas O OneNote ≥ 2410 em Windows 11 26100+ traz “OneNote (Desktop) – Protected virtual printer”; os documentos XPS/Fax saem por alternativa (PDF, app do Office)
Opção de desligar o WPP em cinza modo forçado por GPO remover a GPO ou pedir ao administrador
Impressora some do assistente de configuração removida incompatibilidade reinstalar após o modo estar activo

Checklist

  • [ ] Inventário de impressoras: verificar na lista de produtos Mopria quais são certificadas
  • [ ] Inventário de multifuncionais: confirmar o suporte a scanner no WPP
  • [ ] Planear migração de clientes e servidores de impressão em conjunto
  • [ ] Configurar GPO ou Intune OMA-URI num grupo pequeno de teste primeiro
  • [ ] Formar utilizadores sobre as diferenças de Preferências de impressora
  • [ ] Manter um caminho de rollback: testar primeiro a política em Disabled num servidor de teste (as impressoras removidas têm de ser reinstaladas depois)

Artigos Relacionados

Fontes Oficiais