Puntos clave
Cada uno de estos puntos refleja con precisión la información esencial y los requisitos técnicos que se describen a lo largo de la guía:
- Gestiona la función con varios métodos: recoge las cinco opciones administrativas que trata el artículo (Configuración, GPO, Registro, PowerShell y archivos .reg).
- Comprueba los requisitos del sistema: resume los requisitos previos (Windows 11 24H2 o posterior y certificación Mopria) y la eliminación automática de los controladores no compatibles.
- Aplica la configuración mediante la cola de impresión: explica la acción necesaria después de configurar (reiniciar la cola de impresión o el equipo) para que los cambios en el Registro o en las directivas surtan efecto.
- Haz pruebas antes de desplegar: recoge la recomendación del apartado de riesgos y consecuencias de probar en un único equipo local antes de desplegar con la GPMC.
- Configura la gestión estándar: indica con precisión el papel de NinjaOne (configurar mediante los ajustes nativos de Windows y no con una función específica de NinjaOne).
El modo de impresión protegida de Windows (conocido como WPP, por sus siglas en inglés) utiliza exclusivamente la pila de impresión moderna, por lo que no hacen falta aplicaciones ni controladores de terceros. Así se simplifica y centraliza el proceso de impresión, y se reduce al mínimo la superficie de ataque en los entornos que usan esta función.
¿Prefieres un resumen visual del tema? Mira «Cómo activar o desactivar el modo de impresión protegida en Windows 11» para conocer más detalles.
Métodos para gestionar el modo de impresión protegida en Windows 11
WPP viene desactivado de forma predeterminada en los sistemas Windows 11, lo que permite a los usuarios conectarse y usar cualquier impresora. Sin embargo, depender de varios controladores y programas de impresión aumenta la exposición a amenazas de seguridad. Si tu organización prioriza la seguridad y la sencillez, la impresión sin controladores con WPP es la mejor opción porque ofrece más seguridad.
📌 Requisitos previos:
- Windows 11 24H2 o versiones posteriores
- Privilegios de administrador
- Impresoras con certificación Mopria para que sean compatibles con WPP
📌 Estrategias de despliegue recomendadas:
Haz clic para elegir un método | 💻 Ideal para usuarios individuales | 💻💻💻 Ideal para empresas |
| Método 1: controlar WPP desde la aplicación Configuración de Windows | ✓ | |
| Método 2: configurar WPP con el Editor de directivas de grupo local | ✓ | ✓ |
| Método 3: gestionar el modo de impresión protegida de Windows con el Editor del Registro | ✓ | |
| Método 4: automatizar el proceso del Registro con scripts de PowerShell | ✓ | ✓ |
| Método 5: usar un archivo .reg para gestionar WPP en Windows 11 sin scripts | ✓ | ✓ |
(Consulta ⚠️ Aspectos a tener en cuenta).
Método 1: controlar WPP desde la aplicación Configuración de Windows
La forma más sencilla de activar o desactivar el modo de impresión protegida es desde la aplicación Configuración de Windows. Al navegar por la interfaz gráfica, los usuarios pueden activar o desactivar la función WPP.
📌 Caso de uso: este método es ideal si quieres activar o desactivar WPP rápidamente en todo el sistema a nivel local.
- Pulsa Win + I y ve a Bluetooth y dispositivos > Impresoras y escáneres.
- En Preferencias de impresora, pulsa Configurar junto a Modo de impresión protegida de Windows.
- Completa los mensajes que aparecen pulsando Sí, continuar.
- Para desactivar la función, selecciona Desactivar junto a Modo de impresión protegida de Windows.
Método 2: configurar WPP con el Editor de directivas de grupo local
El Editor de directivas de grupo local ofrece plantillas de directivas fáciles de modificar y de revertir. Si lo combinas con la Consola de administración de directivas de grupo (GPMC), puedes desplegar la configuración de forma centralizada en un Active Directory para mantener WPP coherente en todos los equipos.
⚠️ Importante: antes de desplegar directivas con la GPMC, conviene probar primero las configuraciones en un equipo local. (Consulta ⚠️ Aspectos a tener en cuenta).
📌 Casos de uso: gestionar WPP desde el Editor de directivas de grupo local impide que los usuarios configuren la función desde Configuración de Windows. Además, este método es ideal para probar configuraciones de directivas de WPP en local antes de desplegarlas.
- Pulsa Win + R, escribe gpedit.msc y pulsa Ctrl + Mayús + Intro.
- Ve a: Configuración del equipo > Plantillas administrativas > Impresoras
- Haz doble clic en la directiva Configurar la impresión protegida de Windows.
- Configura la directiva según el comportamiento de WPP que prefieras:
- Habilitada: activa WPP para todos los usuarios locales.
- Deshabilitada: desactiva WPP para todos los usuarios locales.
- No configurada: desactiva WPP y permite que los usuarios finales configuren la función en local.
- Selecciona Aplicar y Aceptar, y después reinicia el dispositivo para aplicar los cambios.
💡 Consejo: también puedes detener la cola de impresión para no tener que reiniciar el dispositivo. Abre una consola de PowerShell con permisos elevados e introduce lo siguiente: Restart-Service spooler
Método 3: gestionar el modo de impresión protegida de Windows con el Editor del Registro
El Registro permite controlar directamente los valores relacionados con WPP, algo ideal para dispositivos que no tienen acceso al Editor de directivas de grupo local.
⚠️ Advertencia: los cambios en el Registro se aplican de inmediato y una configuración incorrecta puede afectar negativamente al rendimiento y a la estabilidad del dispositivo. (Consulta ⚠️ Aspectos a tener en cuenta.)
📌 Caso de uso: este método sirve para imponer configuraciones de WPP en dispositivos locales que no pertenecen a un dominio.
📌 Requisito previo: copia de seguridad del Registro de Windows
- Pulsa Win + R, escribe regedit y pulsa Ctrl + Mayús + Intro.
- Ve a la siguiente ruta: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\Printers\WPP
- Si Printers no existe, haz clic derecho en Windows NT.
- Selecciona Nuevo > Clave y ponle el nombre Printers.
- Haz clic derecho en Printers, selecciona Nuevo > Clave y ponle el nombre WPP.
- Crea cuatro valores DWORD (32 bits) dentro de la clave WPP y configúralos así para activar WPP por completo:
- WindowsProtectedPrintMode = 1 (activa WPP)
- WindowsProtectedPrintGroupPolicyState = 1 (impide que los usuarios finales activen o desactiven WPP desde Configuración de Windows)
- EnabledBy = 2 (marca la configuración a nivel de sistema)
- WindowsProtectedPrintOobeConfigComplete = 1 (completa el estado de configuración)
- Pulsa Aceptar y reinicia el dispositivo (o la cola de impresión) para aplicar los cambios.
Método 4: automatizar el proceso del Registro con scripts de PowerShell
Puedes aplicar el proceso del Registro en varios endpoints, pero a gran escala resulta repetitivo y propenso a errores. Por eso, puedes usar PowerShell para facilitar el despliegue en endpoints que no pertenecen a un dominio.
📌 Caso de uso: PowerShell ayuda a los administradores a automatizar el proceso del Registro y garantiza una configuración de WPP coherente en todos los endpoints.
📌 Requisito previo: copia de seguridad del Registro de Windows
- Pulsa Win + R, escribe PowerShell y pulsa Ctrl + Mayús + Intro.
- Introduce el script que mejor se ajuste a la configuración de WPP que prefieras:
- Para activar el modo de impresión protegida de Windows:
$regPath = "HKLM:\SOFTWARE\Policies\Microsoft\Windows NT\Printers\WPP"
New-Item -Path $regPath -Force -ErrorAction SilentlyContinue | Out-Null
New-ItemProperty -Path $regPath -Name «WindowsProtectedPrintMode» -Value 1 -PropertyType DWORD -Force | Out-Null
Restart-Service spooler - Para desactivar el modo de impresión protegida de Windows:
$regPath = "HKLM:\SOFTWARE\Policies\Microsoft\Windows NT\Printers\WPP"
New-Item -Path $regPath -Force -ErrorAction SilentlyContinue | Out-Null
New-ItemProperty -Path $regPath -Name «WindowsProtectedPrintMode» -Value 0 -PropertyType DWORD -Force | Out-Null
Restart-Service spooler
- Para activar el modo de impresión protegida de Windows:
- Si quieres imponer esta configuración, añade el siguiente comando:
New-ItemProperty -Path $regPath -Name «WindowsProtectedPrintGroupPolicyState» -Value 1 -PropertyType DWORD -Force | Out-Null - Espera a que el script termine de aplicarse y después cierra la consola de PowerShell.
💡 Nota: como el script de PowerShell reinicia automáticamente la cola de impresión, no hace falta reiniciar el dispositivo.
Método 5: usar un archivo .reg para gestionar WPP en Windows 11 de forma automatizada
Con un archivo .reg puedes aplicar rápidamente la configuración de WPP que prefieras en el Registro con dos clics.
📌 Casos de uso: este método es ideal para imponer cambios de valores del Registro de forma rápida en un número reducido de equipos. También sirve para desplegar configuraciones en entornos totalmente cerrados, sin controlador de dominio ni acceso a PowerShell remoto.
📌 Requisito previo: copia de seguridad del Registro de Windows
- Abre un archivo .txt nuevo en el Bloc de notas.
- Copia el texto correspondiente a la configuración de WPP que quieras:
- Activar el modo de impresión protegida:
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\Printers\WPP]"WindowsProtectedPrintMode"=dword:00000001"WindowsProtectedPrintGroupPolicyState"=dword:00000001 - Desactivar el modo de impresión protegida:
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\Printers\WPP]"WindowsProtectedPrintMode"=dword:00000000"WindowsProtectedPrintGroupPolicyState"=dword:00000001
- Activar el modo de impresión protegida:
- Cuando termines, pulsa Ctrl + Mayús + S.
- Selecciona la ruta donde guardarás el archivo .reg.
- Añade la extensión .reg después del nombre del archivo y cambia Tipo a Todos los archivos.
- Pulsa Guardar y localiza el archivo .reg que acabas de crear.
- Haz doble clic en el archivo .reg para combinar su contenido con el Registro.
- Reinicia el dispositivo o la cola de impresión para aplicar los cambios.
⚠️ Nota sobre la reversión y la retirada en entornos empresariales
Desactivar WPP no reinstala automáticamente los controladores de terceros ni restaura las colas de impresión eliminadas. Si desactivas WPP, los administradores tendrán que reinstalar manualmente los controladores del fabricante (por ejemplo, con instaladores INF/EXE o scripts de despliegue de RMM) y volver a añadir los endpoints de impresión.
⚠️ Aspectos a tener en cuenta
Riesgos | Posibles consecuencias | Cómo revertirlo |
| WPP ha bloqueado el acceso a otras impresoras | Las impresoras que usan API obsoletas no funcionarán correctamente si WPP está activado. | Audita tu parque de impresoras y comprueba que todas tengan certificación Mopria para garantizar su funcionamiento después de configurar WPP. |
| No hacer pruebas antes de desplegar | Una configuración incorrecta puede afectar negativamente a un entorno si se despliega por error. | Prueba siempre las configuraciones en un equipo local para comprobar su impacto antes de desplegarlas. |
| Modificar directamente los valores del Registro | Los cambios en el Registro se aplican de inmediato y una configuración incorrecta puede provocar inestabilidad en el sistema. | Haz una copia de seguridad del Registro antes de hacer cambios para poder revertirlos fácilmente si hace falta. |
| Los cambios no se aplican después de configurar | Hay que reiniciar la cola de impresión para que los cambios de WPP surtan efecto. | Abre PowerShell con permisos elevados e introduce Restart-Service spooler. También puedes reiniciar el dispositivo para conseguir el mismo efecto. |
Qué tener en cuenta al ajustar el modo de impresión protegida de Windows
Además de gestionar directivas y cambiar valores del Registro, conviene conocer el impacto técnico y operativo de las configuraciones de WPP. Estos son otros puntos que debes conocer si piensas activar WPP en Windows 11 en tu entorno:
Registro de eventos y monitorización
En el Visor de eventos encontrarás registros operativos con más información sobre la actividad relacionada con WPP en un equipo local. Para verlos, abre el Visor de eventos y ve a Registros de aplicaciones y servicios > Microsoft > Windows > PrintService.
Impacto en los usuarios y configuración de red
Una vez que WPP está activado en todo el sistema, ningún usuario podrá instalar ni usar impresoras sin certificación Mopria. Además, el modo de impresión protegida se basa en el Protocolo de impresión en Internet (IPP). Para que la función funcione sin problemas, es importante asegurarse de que ninguna directiva de firewall bloquee el IPP.
Requisitos de puertos y protocolos de red
WPP depende por completo de IPP/IPPS sobre HTTPS. Asegúrate de que tu entorno de red permita el tráfico por el puerto TCP 631 (IPP) y el puerto TCP 443 (IPPS HTTPS). Si bloqueas estos puertos en los firewalls internos, la impresión dejará de funcionar por completo con WPP, incluso en equipos con certificación Mopria.
Activa WPP en Windows 11 para mejorar la seguridad de endpoints
El modo de impresión protegida de Windows añade una capa más de seguridad para las organizaciones que quieren reducir su superficie de ataque. Al activar esta función, los controladores de terceros no pueden interactuar con la pila de impresión, lo que reduce la exposición a vulnerabilidades de la cola de impresión.
Los usuarios finales pueden activarlo o desactivarlo en todo el sistema desde Configuración de Windows, y los administradores pueden imponer el cambio mediante directivas de grupo o el Registro. Además, el cambio en el Registro se puede automatizar con PowerShell o con un archivo .reg.
Temas relacionados:
- Cómo desinstalar un controlador de impresora en Windows
- Cómo hacer una copia de seguridad y restaurar impresoras en Windows
- Cómo solucionar el error de impresora 0x0000011B en Windows 11
Guía de inicio rápido
Así se activa o desactiva el modo de impresión protegida de Windows en Windows 11:
Desde Configuración de Windows:
1. Abre Configuración (Win+I)
2. Ve a Bluetooth y dispositivos > Impresoras y escáneres
3. Baja hasta encontrar «Modo de impresión protegida de Windows»
4. Haz clic en el botón «Desactivar» o «Activar» para cambiar el ajuste
Notas importantes:
– El modo de impresión protegida de Windows (WPP) es una función de seguridad de Windows 11 versión 24H2 y posteriores.
– Cuando está activado, impide crear colas de impresión que no se basen en IPP (Protocolo de impresión en Internet).
– Obliga a usar un modelo de impresión sin controladores, lo que elimina los riesgos asociados a los controladores de impresora de terceros.
– Precaución: activar WPP puede eliminar controladores de impresora antiguos que no cumplan los requisitos.
NinjaOne no cuenta con una herramienta propia específica para gestionar este ajuste más allá de la configuración estándar de Windows. Los administradores tendrán que configurarlo manualmente o mediante directivas de grupo en cada equipo.
Si tienes problemas de compatibilidad o necesitas un control más preciso, consulta a tu departamento de TI o al fabricante de la impresora para obtener indicaciones detalladas.
