Windows Protected Print pour les entreprises

Microsoft indique trois dates fixes pour les changements concernant la mise à disposition et la maintenance des pilotes d’impression tiers. Pour l’activation par défaut de Windows Protected Print (WPP), il n’existe en revanche aucune date à ce jour. Les échéances relatives aux pilotes ne signifient pas une désactivation générale des imprimantes existantes.

Pour votre planification, cela signifie : vérifiez aussi bien la poursuite de la prise en charge de vos pilotes actuels que les adaptations nécessaires pour WPP. Prévoyez suffisamment de temps pour les tests avec vos applications métier et vos processus d’impression critiques.

Microsoft: Calendrier et résponses sur l’utilisation future des pilotes

Microsoft: FAQ sur la future activation par défaut des WPP

La stratégie « Configure Windows protected print » est documentée pour Windows 11 à partir de la version 24H2 dans les éditions prises en charge. Pour Intune, Microsoft indique l’OMA-URI
./Device/Vendor/MSFT/Policy/Config/Printers/ConfigureWindowsProtectedPrint.

Vérifier les serveurs séparément

La documentation de la stratégie WPP ne mentionne pas Windows Server 2025 lui-même. Le plan de fin de maintenance des pilotes tiers le mentionne explicitement (« For Windows 11+ and Windows Server 2025+ »), et la page Enterprise s’adresse également aux serveurs :

« By ensuring that both your client and servers have Windows protected print mode turned on, you can take full advantage of the security and reliability benefits it offers. »

De la seule mention de Windows Server 2025 dans le calendrier de maintenance des pilotes, on ne peut déduire aucune validation de WPP pour toute configuration de serveur. Vérifiez la version du système d’exploitation, les stratégies disponibles et les validations de vos applications – en particulier pour les serveurs d’impression, SAPSprint et les postes de travail virtuels – y compris la question du comportement de WPP vis-à-vis des files d’attente d’impression déjà présentes.

Microsoft: Versions prises en charge et stratégies d’imprimante

Oui. Votre IT peut piloter, via les stratégies de groupe (GPO) ou Microsoft Intune, sur quels systèmes Windows pris en charge Windows Protected Print (WPP) est activé et lesquels restent exclus dans un premier temps. WPP peut ainsi être introduit progressivement, pendant que les processus d’impression basés sur des pilotes encore nécessaires continuent de fonctionner.

GPO signifie Group Policy Object, en français objet de stratégie de groupe. L’IT y regroupe des paramètres pour les postes Windows et les attribue de manière centralisée, par exemple au sein d’un domaine Active Directory. Microsoft Intune est le service cloud de Microsoft pour la gestion des périphériques et de leurs paramètres. L’IT n’a ainsi pas besoin d’effectuer la configuration WPP individuellement sur chaque poste de travail.

Pour WPP, Microsoft documente la stratégie « Configure Windows protected print ». Par son attribution et sa configuration, l’IT peut limiter un déploiement à certains périphériques. La voie d’administration appropriée dépend de la manière dont les systèmes concernés sont gérés et de la version du système d’exploitation utilisée.

Une exception temporaire peut être, par exemple, un poste d’expédition doté d’un pilote d’imprimante d’étiquettes encore nécessaire. Un hôte SAPSprint – c’est-à-dire le poste Windows sur lequel le service SAPSprint s’exécute – entre également en ligne de compte s’il émet des données d’impression SAP via un pilote d’impression tiers. Pour un tel hôte, il faut en outre vérifier la prise en charge de la version de Windows utilisée et les validations pour SAPSprint ; tous les serveurs ne se gèrent pas par les mêmes voies qu’un poste de travail Windows.

Une telle exception vous donne du temps pour les tests et les adaptations. Consignez pourquoi elle est nécessaire, qui en est responsable et quand vous la réexaminerez. Tenez compte à cette occasion de la maintenance ultérieure des pilotes et du support du fabricant.

Le paramètre WPP s’applique au système Windows concerné. Une imprimante isolée avec un pilote tiers ne peut pas être autorisée séparément au sein d’un mode WPP actif.

Microsoft: WPP mit Gruppenrichtlinien und Intune verwalten

Microsoft: Gérer WPP avec les stratégies de groupe et Intune

Microsoft : Stratégie WPP et versions de Windows prises en charge

Quelles imprimantes pouvons-nous continuer à utiliser sous WPP ?

La certification Mopria offre un point de départ pour la vérification des périphériques compatibles. C’est l’entrée relative au modèle concret qui est déterminante. L’appartenance d’un fabricant à la Mopria Alliance ne permet pas de déduire une compatibilité pour l’ensemble de sa gamme.

Justificatifs : adhésion à Mopria et certification par modèle

 

Impression d’étiquettes. Les principaux fournisseurs spécialisés en impression d’étiquettes industrielle – Zebra, Honeywell, SATO, TSC, Bixolon – ne sont pas membres de la Mopria Alliance. Seul celui qui adhère à l’Alliance au moins comme Adopter peut certifier. Des membres tels que Brother, Epson ou Toshiba Tec proposent certes eux aussi des imprimantes d’étiquettes industrielles dans leur portefeuille ; aucune certification Mopria n’est toutefois indiquée pour ces classes de périphériques.

 

Le classement de ce constat importe davantage que le constat lui-même : il s’agit d’un signal de marché, et non d’un verrou technique. L’adhésion est ouverte à tout fabricant. Mais celui qui fonde sa planification sur l’idée que cette catégorie de périphériques sera certifiée à l’avenir planifie sur une intention qu’aucun fabricant n’a déclarée jusqu’ici.

 

Grand format et impression de production. Plusieurs fabricants qui construisent des traceurs et des systèmes de production sont membres de Mopria, et certains périphériques sont certifiés. Un détail est ici déterminant, qui rend inutilisable une évaluation de parc par marque : La certification suit le modèle individuel, non le fabricant et non la ligne de produits. Plusieurs modèles HP DesignJet figurent dans la liste Mopria, de même que Canon imagePROGRAF PRO et Epson SureColor SC-P – en revanche, pas les véritables traceurs CAO et à rouleau des mêmes fabricants.

 

Ce qui manque dans cette catégorie n’est donc pas la voie de transport. C’est la finesse de pilotage – et celle-ci résidait jusqu’ici dans le pilote, non dans le périphérique.

 

Mopria Alliance: Member Companies – Mopria Alliance: Mopria Certification

Pour l’impression d’étiquettes, de CAO et de production, vous devriez en outre clarifier quelles fonctions sont assurées jusqu’à présent par l’application, par le pilote ou par le périphérique. C’est seulement ensuite que l’on peut juger si un autre raccordement, une adaptation logicielle ou un remplacement de périphérique est judicieux.

Mopria: rechercher les périphériques certifiés

IPP prend également en charge des fonctions de finition des travaux d’impression, par exemple via les attributs finishings-supported, finishings-default et finishings-col-database. Ce qui est déterminant, c’est de savoir quelles fonctions le périphérique met à disposition et lesquelles votre application, Windows et une éventuelle Print Support App utilisent réellement.

IPP Everywhere et Mopria sont des programmes de certification différents. L’étendue des tests de l’un ne permet aucune conclusion générale sur l’autre. Pour votre exploitation, un test fonctionnel avec les documents et les réglages réellement utilisés compte donc en plus.

Justificatifs : ce que la procédure de certification vérifie – et ce qu’elle ne vérifie pas

Dans la procédure d’auto-certification IPP Everywhere (PWG 5100.20) , la finition n’est pas vérifiée. La procédure couvre la découverte DNS-SD, la conformité au protocole IPP et les formats de document PWG Raster, JPEG et PDF ; le terme « finishings » n’apparaît nulle part dans l’ensemble du document.

 

La spécification est en cela plus stricte que sa procédure de test : IPP Everywhere v1.1 répertorie finishings-supported, finishings-default et finishings-col-database comme conditionally required – « CONDITIONALLY REQUIRED for Printers with finishers ». Un périphérique doté d’un module de finition qui ne publie pas ces attributs est donc non conforme à la spécification, mais n’échoue à aucune procédure de test.

 

L’étendue de ce que le programme de certification Mopria vérifie au-delà des procédures PWG ouvertes n’est pas documentée publiquement. On ne peut donc pas en conclure à une vérification de la finition – mais on ne peut pas davantage prouver le contraire. Pour la planification du parc, c’est précisément là le point : l’affirmation « nos périphériques sont certifiés Mopria » ne répond pas à la question fonctionnelle. Celle-ci se mesure par modèle et par niveau de firmware.

 

PWG 5100.20: IPP Everywhere Printer Self-Certification Manual v1.1

En détail : Quelles fonctions vais-je perdre avec le pilote IPP intégré ? L’agrafage, la perforation, la sélection du bac et la finition en détail, y compris la démarche d’évaluation avec ipptool

Comment rendre le test probant

Interrogez les propriétés IPP du périphérique, par exemple avec ipptool . Comparez-les aux options d’impression visibles et à l’impression réellement obtenue. Pour les multifonctions, intégrez également le processus de numérisation au test.

PWG: IPP Everywhere v1.1

Microsoft: fonctions supplémentaires via les Print Support Apps

De nombreux flux documentaires utilisent une imprimante virtuelle : les collaborateurs sélectionnent par exemple un archivage ou une sortie PDF dans la boîte de dialogue d’impression. Si cette solution requiert un pilote d’impression non pris en charge, elle ne peut pas continuer de fonctionner sans modification après l’activation de WPP.

Les imprimantes virtuelles ne sont toutefois pas exclues par principe sous WPP. L’architecture Print Support App de Microsoft permet aux fournisseurs de proposer des imprimantes virtuelles sous forme d’application MSIX, sans pilote tiers V3/V4 classique. Les solutions existantes basées sur un pilote n’en deviennent pas automatiquement compatibles ; le fournisseur doit développer et mettre à disposition une version adaptée en conséquence.

Un exemple déjà disponible est « OneNote (Desktop) – Protected virtual printer ». Microsoft documente que cette imprimante virtuelle est installée par défaut dans toutes les versions de l’application OneNote pour Windows à partir de 2410, sous Windows 11 à partir de la version 26100 ; dans nos tests, elle continue de fonctionner même lorsque WPP est activé. Elle permet la sortie vers OneNote, mais ne remplace pas une solution PDF, d’archivage, d’e-mail ou de fax quelconque.

Microsoft: OneNote comme imprimante virtuelle sous WPP – consulté le 16 septembre 2026

Pour les solutions existantes basées sur un pilote, l’architecture Print Support App ne signifie toutefois pas une migration, mais une réimplémentation sous forme d’application MSIX. Savoir si et quand un fournisseur donné empruntera cette voie dépend du constructeur et doit être demandé au cas par cas. Pour ces flux, vous devriez demander au fournisseur concerné une version compatible WPP et son étendue fonctionnelle

Les imprimantes virtuelles sont la partie du problème la plus souvent négligée. Du point de vue de Windows, les PDF writers ainsi que les files d’attente « Print to Archive », « Print to E-Mail » et de fax ne sont pas des cas particuliers, mais des pilotes d’impression – et donc des pilotes tiers. Microsoft supprime à cette occasion également ses propres imprimantes virtuelles basées sur un pilote.

C’est le point où WPP cesse d’être un sujet d’impression. Celui qui archive aujourd’hui via une imprimante virtuelle n’a pas un problème d’impression, mais une chaîne de processus documentaires suspendue à un composant Windows qui disparaît.

Relevez en outre ce qui se passe après la commande d’impression : un simple fichier est-il généré, ou les documents sont-ils indexés, archivés et transmis ? Un remplacement doit couvrir l’ensemble du processus.

Prendre également en compte les flux numériques

Une imprimante d’archivage manquante peut interrompre un processus métier, bien qu’aucun papier ne soit produit. Associez donc les responsables de la GED, de l’archivage et des applications métier à l’état des lieux.

Microsoft: architecture pour imprimantes virtuelles sans pilote tiers

Les deux schémas courants sont concernés : la voie passant par des pilotes spécifiques au modèle, qui doivent être installés sur le VDA ou le serveur Terminal Server, et la voie passant par un pilote universel. La seconde n’est pas la meilleure issue qu’elle paraît être au premier abord – un pilote d’impression universel est lui aussi, du point de vue de Windows, un pilote d’impression, et relève donc de WPP.

Citrix documente dans l’article CTX223749 les combinaisons prises en charge de pilotes V3 et V4. Cet aperçu n’est toutefois pas une garantie de compatibilité WPP. Il ne suffit donc pas pour juger de l’adéquation de votre configuration Citrix actuelle.

Justificatifs : ce que Citrix documente – et ce qui en découle

Dans la matrice de support relative aux architectures de pilotes Microsoft, Citrix indique la voie V3 comme scénario pris en charge :

 

« Using V3 printer drivers on all VDAs, UPS and Receiver for Windows endpoints continues to be a supported scenario »

 
et exclut expressément le sens inverse :

 

« Using a native V4 printer driver on both the VDA and the Client is not a supported scenario. »

 
La combinaison documentée comme prise en charge par Citrix s’appuie donc sur des pilotes tiers. Et WPP supprime les pilotes tiers – qu’ils soient V3 ou V4.

 

Deux restrictions s’y ajoutent. L’article Citrix ne porte pas de date et date manifestement d’avant WPP ; ce n’est pas une prise de position de Citrix sur WPP. Et il s’agit d’une matrice de support, non d’une architecture de référence. Seul est donc solide le constat que la voie documentée repose sur des pilotes que WPP n’autorise plus.

Relevez les versions utilisées, les stratégies d’impression et les voies de connexion. Convenez avec le constructeur de la configuration validée et testez des sessions typiques, y compris l’affectation des imprimantes, la connexion et la sortie depuis les applications métier.

Planifier le déploiement sur l’ensemble des systèmes concernés

Un déploiement de WPP dans un environnement Citrix n’est pas un sujet limité au client. Il touche simultanément le VDA, le Universal Print Server et le point de terminaison. Une modification sur le terminal peut se répercuter sur l’impression depuis une session. Savoir si d’autres composants sont concernés, et lesquels, découle de votre architecture concrète.

Citrix: combinaisons de pilotes V3/V4 prises en charge

C’est dans ce groupe que la pression à agir est la plus forte, car la criticité de processus la plus élevée y rencontre la compatibilité la plus faible. En entrepôt, en expédition et en production, les impressions font souvent partie intégrante du processus. Priorisez donc les flux pour lesquels une étiquette manquante ou un plan erroné interromprait le travail.

Impression d’étiquettes

De nombreuses imprimantes d’étiquettes traitent des langages tels que ZPL ou EPL. Ces langages ne font pas partie de la pile du pilote de classe IPP, et les fournisseurs spécialisés du segment ne sont pas membres de Mopria. Si le flux de données est généré par un pilote constructeur Windows, cette voie est concernée lorsque WPP est activé. Si l’application génère elle-même les données et les envoie à l’imprimante par une voie TCP brute directe (raw socket), le pilote d’impression Windows n’intervient pas dans ce flux. Cette voie est toutefois à vérifier pour chaque application et n’est pas administrable via la Gestion de l’impression Windows – elle résout le problème pour des processus isolés, non pour le parc.

Le cas le plus fréquent dans les environnements d’entrepôt et d’expédition est le poste d’emballage, qui édite des étiquettes issues de SAP EWM ou WM via une file d’attente d’impression Windows. Sans étiquette, aucun processus d’expédition ne se poursuit ; la panne coûte plus cher que pour n’importe quelle imprimante de bureau.

Vérifiez également les codes-barres, les dimensions des étiquettes, la vitesse d’impression et le retour d’information vers l’application. Pour un raccordement direct, l’administration, les droits d’accès et la surveillance doivent également être réglés.

Grand format et CAO

Les traceurs et les périphériques de sortie CAO ne font pas partie du segment cible de WPP. La sortie de plans depuis Teamcenter, AutoCAD ou SolidWorks s’appuie en outre régulièrement sur une logique située dans le pilote – formats de rouleau manquants, échelle, affectation des plumes, choix du rouleau, marques de pliage –, pour laquelle il n’existe pas d’équivalent dans le noyau IPP.

Pour les plans, il s’agit de plus qu’une sortie lisible. Testez l’échelle, les épaisseurs de trait, le choix du rouleau, le rognage et le pliage depuis vos applications réelles, par exemple AutoCAD, SolidWorks ou Teamcenter. Les fonctions disponibles via IPP et des logiciels complémentaires dépendent du système concerné.

IPDS, AFP et sortie mainframe

L’impression de production avec IPDS ou AFP suit une logique de pilotage propre, avec canal de retour et intégrité de page. Le pilote IPP intégré ne la couvre pas, et aucune offre d’impression cloud adressant IPDS ou AFP n’est connue à ce jour.

Ces environnements utilisent des formats de données et des étapes de traitement spécialisés. Vérifiez quel composant génère, transmet et, le cas échéant, convertit les données. Un passage au pilote IPP intégré ne remplace pas automatiquement ce traitement.

Une solution adaptée pour chaque processus

Clarifiez avec les éditeurs d’applications et les fabricants de périphériques si les fonctions restent disponibles via une connexion compatible ou si un traitement supplémentaire des données d’impression est nécessaire. Une affirmation générale valable pour l’ensemble de la classe de périphériques serait trop imprécise.

Ces trois domaines ont une caractéristique commune : ils n’entrent pas dans le modèle « le client Windows dialogue en IPP avec un MFP certifié ». Ils ne sont pas réparables au niveau du périphérique – ni par une mise à jour du micrologiciel ni par une Print Support App, car le périphérique ne propose pas la fonction via IPP et la PSA ne peut pas la créer.

Un remplacement peut être pertinent lorsqu’un périphérique bureautique ancien ne prend pas en charge la connexion IPP requise et doit de toute façon être remplacé. Faites-vous confirmer les fonctions nécessaires pour le modèle successeur et testez-les.

Un remplacement seul peut ne pas suffire lorsque le pilote prépare jusqu’à présent les documents, pilote les bacs à papier par sections ou transmet des données à une archive. Ces tâches devront continuer d’être assurées par un composant adapté, même avec une nouvelle imprimante.

Pour les imprimantes d’étiquettes, les traceurs, les périphériques de sortie CAO et les imprimantes de production, il n’aide pas du tout : Pour ces catégories, il n’existe aucun modèle successeur qui résolve le problème, car la catégorie de périphériques n’est pas certifiée. Ici, un renouvellement déplace le budget sans restituer la fonction.

L’ordre fiable n’est donc pas « vérifier le parc, puis remplacer », mais : d’abord classifier les processus et les flux de données, puis décider quelle partie relève du matériel et laquelle relève de l’architecture. La seconde catégorie ne diminue avec aucune opération d’achat.

Évaluez donc en premier lieu les exigences des processus métier. Sur cette base, vous pouvez décider où une mise à jour logicielle, une connexion modifiée ou du nouveau matériel apporte le plus grand bénéfice.

WPP réduit la surface d’attaque du système d’impression Windows. Cela comprend l’exclusion des pilotes d’impression tiers et des mesures de protection supplémentaires, par exemple des droits réduits pour certaines tâches du spouleur.

La pile d’impression Windows a été pendant des années une surface d’attaque connue – PrintNightmare en est l’exemple le plus marquant. Les pilotes tiers s’exécutent avec des privilèges élevés et leur qualité échappe au contrôle de l’exploitant. Les supprimer et déplacer le chemin d’impression vers un mode à privilèges réduits constitue un gain compréhensible.

Pour un système globalement sûr, vous devez en outre définir qui a le droit d’imprimer quels documents, comment les travaux sont transmis et journalisés et comment les impressions confidentielles sont protégées au niveau du périphérique. Vérifiez ces exigences tout au long de la voie de sortie. Dans les environnements réglementés, ce sont les exigences examinées lors de l’audit – et elles restent entièrement ouvertes après une activation de WPP.

WPP constitue ainsi un durcissement du modèle de pilotes, et non une stratégie de sécurité de l’impression. Des mesures complémentaires peuvent être, par exemple, des contrôles d’accès, des connexions chiffrées et une libération d’impression authentifiée au niveau du périphérique.

Microsoft: Mesures de sécurité en mode WPP

1   Recenser les processus d’impression et documentaires

Répertoriez les applications à partir desquelles des documents sont imprimés : Office, ERP et SAP, PLM et CAO, GED, archive ainsi que d’autres applications métier. Recensez également les destinations numériques telles que le PDF et l’archive.

2   Retracer la préparation et la transmission

Déterminez pour chaque processus où naissent les données prêtes à imprimer et comment elles parviennent au périphérique. Tenez compte des pilotes, des files d’attente d’impression, des conversions et des fonctions supplémentaires requises.

3   Documenter les systèmes impliqués

Consignez les versions du système d’exploitation et des logiciels, les pilotes, les périphériques, les micrologiciels et l’état WPP. Cela inclut également les hôtes SAPSprint, Citrix et Cloud Print Manager.

4   Classifier les catégories de périphériques et les flux de données

MFP compatibles Mopria/IPP, périphériques bureautiques anciens, imprimantes d’étiquettes ZPL/EPL, traceurs et grand format, IPDS/AFP, destinations virtuelles. Pour les périphériques compatibles IPP, il est utile d’interroger les attributs avec ipptool, afin de voir quelles fonctions sont réellement publiées.

5   Tester les processus réels

Vérifiez dans un environnement de test adapté la nouvelle configuration des imprimantes et l’activation de WPP. Utilisez des documents typiques avec tous les réglages nécessaires. Prévoyez également un moyen de rétablir la configuration antérieure.

6   Prioriser les mesures selon la pertinence des processus

Non pas « quel périphérique est concerné », mais « quel processus s’arrête ». Une imprimante d’étiquettes au poste d’expédition et une imprimante bureautique dans l’administration apparaissent de manière équivalente dans la liste des périphériques – dans la priorisation, elles ne le sont pas. Évaluez les conséquences d’une panne avec les services métier. Documentez les adaptations nécessaires, les responsables et les échéances. Faites confirmer les processus testés par les responsables de processus concernés.

Le résultat est une vue d’ensemble traçable : quels processus fonctionnent déjà, lesquels nécessitent des adaptations et où manquent encore des validations ou des tests ? Vous pouvez ainsi définir de manière argumentée la charge, le budget et l’ordre de déploiement. Elle est utile indépendamment de la date à laquelle Microsoft activera WPP par défaut – et elle est la condition préalable pour poser sérieusement la question des coûts.