Come abilitare o disabilitare le impostazioni della modalità di stampa protetta in Windows 11

Windows Protected Print Mode (noto anche come WPP) utilizza esclusivamente lo stack di stampa moderno, eliminando la necessità di app e driver di terze parti. In questo modo il processo di stampa diventa più semplice e centralizzato, riducendo al minimo la superficie di attacco negli ambienti che utilizzano questa caratteristica.

Ti serve un riepilogo visivo dell’argomento? Guarda “Come abilitare o disabilitare le impostazioni della modalità di stampa protetta in Windows 11” per maggiori dettagli.

Metodi per gestire Windows Protected Print Mode in Windows 11

WPP è disabilitato per impostazione predefinita nei sistemi Windows 11, quindi gli utenti possono collegare e utilizzare qualsiasi stampante. Tuttavia, affidarsi a più driver e software di stampa aumenta l’esposizione alle minacce per la sicurezza. Per le organizzazioni che mettono al primo posto sicurezza e semplicità, la stampa senza driver con WPP è la scelta migliore.

📌 Prerequisiti:

• Windows 11 24H2 o versioni successive
• Privilegi di amministratore
• Stampanti certificate Mopria per la compatibilità con WPP

📌 Strategie di distribuzione consigliate:

Fai clic per scegliere un metodo	💻 Ideale per i singoli utenti	💻💻💻 Ideale per gli ambienti enterprise
Metodo 1: gestire WPP dall’app Impostazioni di Windows	✓
Metodo 2: configurare WPP con l’Editor Criteri di gruppo locali	✓	✓
Metodo 3: gestire Windows Protected Print Mode con l’Editor del Registro di sistema	✓
Metodo 4: automatizzare le modifiche al Registro di sistema con script PowerShell	✓	✓
Metodo 5: usare un file .reg per gestire WPP in Windows 11 senza script	✓	✓

(Vedi ⚠️ Aspetti a cui prestare attenzione.)

Metodo 1: gestire WPP dall’app Impostazioni di Windows

Il modo più semplice per abilitare o disabilitare la modalità di stampa protetta è l’app Impostazioni di Windows. Navigando nell’interfaccia grafica, gli utenti possono attivare o disattivare la caratteristica WPP.

📌 Situazione d’uso: questo metodo è ideale se vuoi attivare o disattivare rapidamente WPP a livello di sistema in locale.

1. Premi Win + I e vai su Bluetooth e dispositivi > Stampanti e scanner.
2. In Preferenze stampante, premi Configura accanto a Modalità di stampa protetta di Windows.
3. Completa le richieste successive premendo Sì, continua.
4. Per disabilitare la caratteristica, seleziona Disattiva accanto a Modalità di stampa protetta di Windows.

Metodo 2: configurare WPP con l’Editor Criteri di gruppo locali

L’Editor Criteri di gruppo locali mette a disposizione modelli di Criteri di gruppo facili da modificare e da ripristinare. Abbinato alla Console Gestione Criteri di gruppo (GPMC), consente una distribuzione centralizzata su tutto un ambiente Active Directory, garantendo coerenza nella configurazione di WPP.

⚠️ Importante: prima di distribuire i criteri tramite GPMC, è consigliabile testare le configurazioni su una macchina locale. (Vedi ⚠️ Aspetti a cui prestare attenzione.)

📌 Situazioni d’uso: la gestione di WPP tramite l’Editor Criteri di gruppo locali impedisce agli utenti di configurare la caratteristica dalle Impostazioni di Windows. Inoltre, questo metodo è ideale per testare in locale le configurazioni dei criteri WPP prima della distribuzione.

1. Premi Win + R, digita gpedit.msc e premi Ctrl + Maiusc + Invio.
2. Vai su: Configurazione del computer > Modelli amministrativi > Stampanti
3. Fai doppio clic sul criterio Configura stampa protetta di Windows.
4. Imposta il criterio in base al comportamento WPP che preferisci:
   • Abilitato: attiva WPP per tutti gli utenti locali.
   • Disabilitato: disattiva WPP per tutti gli utenti locali.
   • Non configurato: disattiva WPP e consente agli utenti finali di configurare la caratteristica in locale.
5. Seleziona Applica, OK, quindi riavvia il dispositivo per applicare le modifiche.

💡 Suggerimento: in alternativa, puoi arrestare lo spooler di stampa per evitare di riavviare il dispositivo. Apri un prompt PowerShell con privilegi elevati e inserisci quanto segue: Restart-Service spooler

Metodo 3: gestire Windows Protected Print Mode con l’Editor del Registro di sistema

Il Registro di sistema offre il controllo diretto dei valori relativi a WPP ed è quindi ideale per i dispositivi che non hanno accesso all’Editor Criteri di gruppo locali.

⚠️ Avvertenza: le modifiche al Registro di sistema vengono applicate immediatamente e gli errori di configurazione possono compromettere prestazioni e stabilità del dispositivo. (Vedi ⚠️ Aspetti a cui prestare attenzione.)

📌 Situazione d’uso: questo metodo è adatto per applicare le configurazioni WPP su dispositivi locali non appartenenti a un dominio.

📌 Prerequisito: backup del Registro di sistema di Windows

1. Premi Win + R, digita regedit e premi Ctrl + Maiusc + Invio.
2. Vai al percorso seguente: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\Printers\WPP
   • Se la chiave Printers non esiste, fai clic con il pulsante destro su Windows NT.
   • Seleziona Nuovo > Chiave e assegnale il nome Printers.
   • Fai clic con il pulsante destro su Printers, seleziona Nuovo > Chiave e assegnale il nome WPP.
3. Crea quattro valori DWORD (32 bit) all’interno della chiave WPP e impostali come segue per abilitare completamente WPP:
   • WindowsProtectedPrintMode = 1 (abilita WPP)
   • WindowsProtectedPrintGroupPolicyState = 1 (impedisce agli utenti finali di attivare o disattivare WPP dalle Impostazioni di Windows)
   • EnabledBy = 2 (indica una configurazione a livello di sistema)
   • WindowsProtectedPrintOobeConfigComplete = 1 (completa lo stato della configurazione)
4. Premi OK e riavvia il dispositivo (oppure riavvia lo spooler di stampa) per applicare le modifiche.

Metodo 4: automatizzare le modifiche al Registro di sistema con script PowerShell

Puoi applicare la procedura sul Registro di sistema a più endpoint, ma su larga scala diventa ripetitiva e soggetta a errori. Per questo puoi usare PowerShell e semplificare la distribuzione sugli endpoint non appartenenti a un dominio.

📌 Situazione d’uso: PowerShell aiuta gli amministratori ad automatizzare le modifiche al Registro di sistema, garantendo una configurazione WPP coerente su tutti gli endpoint.

📌 Prerequisito: backup del Registro di sistema di Windows

1. Premi Win + R, digita PowerShell e premi Ctrl + Maiusc + Invio.
2. Inserisci lo script corrispondente alla configurazione WPP che preferisci:
   • Per abilitare Windows Protected Print Mode:
     

     $regPath = "HKLM:\SOFTWARE\Policies\Microsoft\Windows NT\Printers\WPP" New-Item -Path $regPath -Force -ErrorAction SilentlyContinue | Out-Null New-ItemProperty -Path $regPath -Name “WindowsProtectedPrintMode” -Value 1 -PropertyType DWORD -Force | Out-Null Restart-Service spooler

   • Per disabilitare Windows Protected Print Mode:
     

     $regPath = "HKLM:\SOFTWARE\Policies\Microsoft\Windows NT\Printers\WPP" New-Item -Path $regPath -Force -ErrorAction SilentlyContinue | Out-Null New-ItemProperty -Path $regPath -Name “WindowsProtectedPrintMode” -Value 0 -PropertyType DWORD -Force | Out-Null Restart-Service spooler

3. Se vuoi applicare l’impostazione in modo forzato, aggiungi il comando seguente:
   

   New-ItemProperty -Path $regPath -Name “WindowsProtectedPrintGroupPolicyState” -Value 1 -PropertyType DWORD -Force | Out-Null

4. Attendi che lo script completi l’applicazione, quindi chiudi il prompt di PowerShell.

💡 Nota: poiché lo script PowerShell riavvia automaticamente lo spooler di stampa, non è necessario riavviare il dispositivo.

Metodo 5: usare un file .reg per la gestione automatizzata di WPP in Windows 11

Con un file .reg puoi applicare rapidamente la configurazione WPP che preferisci nel Registro di sistema, con due clic.

📌 Situazioni d’uso: questo metodo è ideale per applicare velocemente modifiche ai valori del Registro di sistema su un numero ridotto di macchine. È adatto anche per distribuire configurazioni in ambienti isolati, privi di domain controller o di accesso a PowerShell remoto.

📌 Prerequisito: backup del Registro di sistema di Windows

1. Apri un nuovo file .txt con il Blocco note.
2. Copia il testo corrispondente alla configurazione WPP che desideri:
   • Abilitare la modalità di stampa protetta:
     

     Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\Printers\WPP] "WindowsProtectedPrintMode"=dword:00000001 "WindowsProtectedPrintGroupPolicyState"=dword:00000001

   • Disabilitare la modalità di stampa protetta:
     

     Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\Printers\WPP] "WindowsProtectedPrintMode"=dword:00000000 "WindowsProtectedPrintGroupPolicyState"=dword:00000001

3. Al termine, premi Ctrl + Maiusc + S.
4. Seleziona il percorso in cui salvare il file .reg.
5. Aggiungi l’estensione .reg dopo il nome del file e imposta Salva come su Tutti i file.
6. Premi Salva e individua il file .reg appena creato.
7. Fai doppio clic sul file .reg per unire il suo contenuto al Registro di sistema.
8. Riavvia il dispositivo o lo spooler di stampa per applicare le modifiche.

⚠️ Nota su rollback e offboarding negli ambienti enterprise

La disabilitazione di WPP non reinstalla automaticamente i driver di terze parti né ripristina le code di stampa eliminate. Se disattivi WPP, gli amministratori devono reinstallare manualmente i driver del produttore (ad esempio tramite installer INF/EXE o script di distribuzione RMM) e aggiungere di nuovo gli endpoint delle stampanti.

⚠️ Aspetti a cui prestare attenzione

Rischi	Possibili conseguenze	Come rimediare
WPP ha rimosso l’accesso ad altre stampanti	Le stampanti che utilizzano API deprecate non funzionano correttamente quando WPP è abilitato.	Verifica il parco stampanti e assicurati che siano tutte certificate Mopria, così da garantirne il funzionamento dopo la configurazione di WPP.
Mancanza di test prima della distribuzione	Gli errori di configurazione possono avere effetti negativi sull’ambiente se vengono distribuiti per errore.	Testa sempre le configurazioni su una macchina locale per verificarne l’impatto prima della distribuzione.
Modifica diretta dei valori del Registro di sistema	Le modifiche al Registro di sistema vengono applicate subito e gli errori di configurazione possono causare instabilità del sistema.	Esegui un backup del Registro di sistema prima di apportare modifiche, così da poter tornare indietro facilmente se necessario.
Le modifiche non vengono applicate dopo la configurazione	Per rendere effettive le modifiche a WPP è necessario riavviare lo spooler di stampa.	Apri PowerShell con privilegi elevati e inserisci Restart-Service spooler. In alternativa, puoi riavviare il dispositivo per ottenere lo stesso risultato.

Aspetti da considerare quando si interviene su Windows Protected Print Mode

Oltre a gestire i criteri e modificare i valori del Registro di sistema, è bene conoscere l’impatto tecnico e operativo delle configurazioni WPP. Ecco alcuni punti aggiuntivi da tenere presenti se intendi abilitare WPP di Windows 11 nel tuo ambiente:

Registrazione degli eventi e monitoraggio

Nel Visualizzatore eventi trovi i registri operativi che offrono maggiore visibilità sulle attività legate a WPP su una macchina locale. Per consultarli, avvia il Visualizzatore eventi e vai su Registri applicazioni e servizi > Microsoft > Windows > PrintService.

Impatto sugli utenti e configurazione di rete

Quando WPP è abilitato a livello di sistema, nessun utente può installare o utilizzare stampanti non certificate Mopria. Inoltre, la modalità di stampa protetta si basa sull’Internet Printing Protocol (IPP). Perché la caratteristica funzioni senza problemi, è importante verificare che l’IPP non sia bloccato da eventuali policy del firewall.

Requisiti di porte e protocolli di rete

WPP si basa interamente su IPP/IPPS su HTTPS. Assicurati che il tuo ambiente di rete consenta il traffico sulla porta TCP 631 (IPP) e sulla porta TCP 443 (IPPS HTTPS). Il blocco di queste porte sui firewall interni impedisce qualsiasi stampa con WPP, anche su hardware certificato Mopria.

Attiva WPP in Windows 11 per migliorare la sicurezza degli endpoint

Windows Protected Print Mode aggiunge un ulteriore livello di sicurezza per le organizzazioni che vogliono ridurre al minimo la propria superficie di attacco. Abilitando questa caratteristica si impedisce ai driver di terze parti di interagire con lo stack di stampa, riducendo l’esposizione agli exploit dello spooler di stampa.

Gli utenti finali possono attivare o disattivare la caratteristica a livello di sistema dalle Impostazioni di Windows, mentre gli amministratori possono imporre la modifica tramite Criteri di gruppo o Registro di sistema. Inoltre, la modifica al Registro di sistema può essere automatizzata con PowerShell o con un file .reg.

Argomenti correlati:

• Come disinstallare il driver di una stampante in Windows
• Come eseguire il backup e il ripristino delle stampanti in Windows
• Come risolvere l’errore stampante 0x0000011B in Windows 11