Impedir que las herramientas de seguridad bloqueen las aplicaciones WebView2

Los administradores de TI de las empresas y los proveedores de software de seguridad deben seguir estos procedimientos recomendados para asegurarse de que las herramientas de seguridad no bloqueen la funcionalidad de la aplicación WebView2 ni provoquen el bloqueo de estas. Use estas prácticas y procedimientos para configurar los entornos y las herramientas de seguridad para evitar romper la arquitectura multiproceso de WebView2.

Contenido detallado:

Herramientas de seguridad para configurar

Entre las herramientas de seguridad para configurar adecuadamente se incluyen:

  • Herramientas de antivirus (AV).
  • Herramientas de prevención de pérdida de datos (DLP).
  • Herramientas de detección y respuesta de puntos de conexión (EDR).

Entre las herramientas de seguridad empresarial también se incluyen:

  • Inspección de seguridad de la capa de transporte (TLS).

Síntomas de problemas de configuración de la empresa

Las herramientas de seguridad empresarial, si no siguen las prácticas recomendadas que se indican a continuación, pueden interrumpir la arquitectura multiproceso de WebView2 al:

  • Bloqueo de procesos secundarios.
  • Estrechar las listas de Access Control (ACL) de la carpeta.
  • Insertar bibliotecas de vínculos dinámicos (DLL).

Cuando se produce esta interrupción, es posible que las experiencias hospedadas en WebView2 tengan la pantalla en blanco, se congelen o no se inicialicen.

Ve:

Actualizar las directivas de seguridad de la empresa si es necesario

WebView2 respeta todas las directivas de seguridad de la empresa.

Si alguna herramienta o directiva no permite cargar algunas de las DLL de WebView2, el Administrador de TI debe actualizar las directivas de seguridad de la empresa.

WebView2 no implementa lógica específica de la aplicación.

Inclusión en la lista de permitidos del tiempo de ejecución de WebView2 y los archivos ejecutables de host de la aplicación

Incluya en la lista de permitidos el tiempo de ejecución de WebView2 (msedgewebview2.exe) y los archivos ejecutables de host de la aplicación.

Ve:

Prefiero las reglas del editor.

Ve:

La inicialización en tiempo de ejecución está bloqueada

Problemas:

  • Puede haber un error de inicialización, como E_FAIL. En este caso, el control WebView2 no se inicializa y el contenido de la aplicación nunca se carga.

  • La inicialización en tiempo de ejecución está bloqueada para cualquiera de las siguientes herramientas:

    • Control de aplicaciones de Windows Defender (WDAC).

    • Reglas de denegación de AppLocker; Directivas que bloquean explícitamente la ejecución.

    • Listas de Access Control (ACL) que se han ajustado más allá de la configuración predeterminada; permisos que se han hecho más restrictivos que los valores predeterminados del sistema operativo.

Síntomas

  • Errores de seguridad de la capa de transporte (TLS), como ERR_CERT_*.

  • Errores de redireccionamiento de inicio de sesión que se producen cuando está habilitada la inspección de Seguridad de la capa de transporte (TLS).

  • Un error de inicialización inmediato.

  • No hay procesos secundarios.

  • La vista está en blanco.

Soluciones

Incluya en la lista de permitidos los archivos ejecutables de WebView2 Runtime (msedgewebview2.exe) y host.

Ve:

Use las reglas del editor.

Ve:

Restaurar las listas de Access Control (ACL) predeterminadas.

Ve:

Conservar las listas de Access Control (ACL) predeterminadas en las carpetas en tiempo de ejecución

No modifiques las listas de Access Control predeterminadas (ACL) que Windows establece en las carpetas de tiempo de ejecución WebView2.

Si las herramientas de seguridad modifican las ACL en las carpetas de tiempo de ejecución WebView2, estos procesos de espacio aislado podrían perder los permisos que necesitan para leer y ejecutar los archivos binarios del tiempo de ejecución, lo que puede causar pantallas en blanco, errores de inicialización o bloqueos.

Ve:

Mantener el nivel de integridad bajo (LowIL) en las carpetas en tiempo de ejecución

No modifiques la configuración del nivel de integridad baja (LowIL) en las carpetas del tiempo de ejecución WebView2. WebView2 ejecuta procesos del procesador en un nivel de integridad baja para limitar su acceso a los recursos del sistema.

Un proceso de nivel de integridad baja (LowIL) debe poder leer y ejecutar los archivos binarios del tiempo de ejecución WebView2.

El nivel de integridad baja (LowIL) es un mecanismo de seguridad de Windows que restringe la capacidad de un proceso para escribir en objetos de mayor integridad (como la mayoría de las ubicaciones del perfil de usuario y del sistema). Los procesos del representador WebView2 se ejecutan con un IL bajo para reducir el impacto de un proceso en peligro.

Ve:

Conservar las listas de Access Control predeterminadas (ACL) en la carpeta de datos de usuario (UDF) de la aplicación

No modifiques las listas de Access Control predeterminadas (ACL) que Windows establece en la carpeta de datos de usuario (UDF) de la aplicación. La modificación de estas ACL puede impedir que los procesos LowIL y AppContainer funcionen correctamente.

AppContainer es un espacio aislado de Windows más restrictivo que limita el acceso de un proceso solo a los recursos concedidos explícitamente. En versiones de SO compatibles, WebView2 puede ejecutar procesos del procesador dentro de un AppContainer, para un aislamiento adicional.

Debe LowIL/AppContainer tener permiso para:

  • Lee y ejecuta el tiempo de ejecución de WebView2.

  • Escribir en la carpeta de datos de usuario (UDF).

WebView2 ejecuta determinados procesos secundarios en un nivel de integridad baja (LowIL) o dentro de un AppContainer espacio aislado para limitar su acceso a los recursos del sistema.

Estos procesos de espacio aislado aún deben poder:

  • Lee y ejecuta los archivos binarios del tiempo de ejecución de WebView2.

  • Escribir en la carpeta de datos de usuario (UDF) de la aplicación.

Si las herramientas de seguridad ajustan las listas de Access Control (ACL) en la carpeta de datos de usuario (UDF) de la aplicación, los procesos de espacio aislado podrían perder el acceso que necesitan, lo que puede causar pantallas en blanco, errores de inicialización o bloqueos.

Las ubicaciones de sistema administradas por el sistema operativo (SO) son controladas completamente por Windows y no deben modificarse.

Ve:

Conceder permiso de escritura en la carpeta de datos de usuario (UDF)

Conceda permiso de escritura para permitir que la aplicación WebView2 escriba en la carpeta de datos de usuario (UDF).

Estas escrituras en la UDF pueden ser desde:

  • Excepciones de acceso controlado a carpetas (CFA) por aplicación.

  • Excepciones de prevención de pérdida de datos (DLP) por aplicación.

El estado del contenido web se encuentra en la carpeta de datos de usuario (UDF) de la aplicación. El estado del contenido web incluye:

  • Galletas.
  • Memoria caché.
  • Almacenamiento local.

Ve:

Bucle de inicio de sesión; Estado no persistente; la configuración no persiste; página inicial en blanco

En el caso de un bucle de inicio de sesión, el estado no se conserva cuando se bloquean las escrituras de la carpeta de datos de usuario (UDF).

Soluciones

Permitir escrituras en la carpeta de datos de usuario de la aplicación; usar excepciones de Acceso controlado a carpetas (CFA) por aplicación o excepciones de prevención de pérdida de datos (DLP).

Evite colocar la carpeta de datos de usuario (UDF) WebView2 en un recurso compartido de red.

Asegúrese de que las directivas de prevención de pérdida de datos (DLP) no clasifiquen erróneamente los datos normales del explorador (como cookies, caché o almacenamiento local) como intentos de exfiltración. La exfiltración es la transferencia no autorizada de datos desde un sistema, red o entorno en la nube a un destino externo sin permiso.

Ve:

Permitir el acceso a carpetas en tiempo de ejecución, procesos secundarios y creación de procesos secundarios

Público: Proveedores de software de seguridad.

Mantén sin restricciones el acceso a la carpeta del tiempo de ejecución WebView2.

Permitir procesos secundarios y no finalizarlos. Los procesos secundarios incluyen:

  • Representador
  • Unidad de procesamiento de gráficos (GPU)
  • Red
  • Bloc de choques

Mantener sin restricciones la creación del proceso secundario del tiempo de ejecución WebView2; permit Crashpad.

Ve:

No insertar DLL en procesos WebView2

Use conectores de seguridad de Microsoft Edge.

Evite la inserción de biblioteca de vínculos dinámicos (DLL).

No inserte bibliotecas de vínculos dinámicos (DLL) en procesos WebView2. Use en su lugar conectores de seguridad de Microsoft Edge.

Prefiera los conectores de seguridad de Microsoft Edge para la prevención de pérdida de datos (DLP), los informes o la confianza del dispositivo.

La inyección de biblioteca de vínculos dinámicos (DLL) en los procesos del representador o de la unidad de procesamiento de gráficos (GPU) rompe el modelo de espacio aislado de Chromium y, normalmente, provoca bloqueos del representador.

Los proveedores de software de seguridad deben usar conectores de seguridad Edge compatibles en lugar de enlaces de bajo nivel.

Ve:

Bloqueos o inmovilizaciones

Bloqueo o inmovilización vinculados a la inyección de biblioteca de vínculos dinámicos (DLL) o al bloqueado representador, unidad de procesamiento gráfico (GPU) o Crashpad.

Ve:

El contenido nunca se carga

Problema: Se inicia el proceso principal, pero el contenido nunca se carga y la aplicación se congela.

El desove de procesos secundarios está bloqueado o enganchado.

Soluciones

Permitir procesos secundarios de WebView2:

  • Representador.
  • Unidad de procesamiento de gráficos (GPU).
  • red de contactos.
  • Crashpad.

Estos son los procesos secundarios de los que WebView2 crea una instancia.

Evite la inserción de biblioteca de vínculos dinámicos (DLL).

Prefiero los conectores de Edge.

Ve:

Evitar exclusiones amplias y globales

Inicio lento

Problemas:

  • Inicio lento debido al profundo análisis en tiempo real del tiempo de ejecución de WebView2 y la carpeta de datos de usuario (UDF).
  • Una pantalla blanca transitoria, cuando se realiza una navegación.
  • Escaneo agresivo en tiempo real.
Soluciones

Configurar exclusiones de ámbito para archivos binarios de tiempo de ejecución WebView2 y carpeta de datos de usuario (UDF); evitar exclusiones amplias.

Ajuste el examen con exclusiones de ámbito para el directorio de tiempo de ejecución WebView2 y la carpeta de datos de usuario (UDF).

Evite exclusiones amplias y globales.

Ve:

Confíe en las entidades de certificación (CA) del proxy interno y permita el inicio de sesión esencial o los puntos de conexión de red de entrega de contenido (CDN)

Alinee las directivas de seguridad de la capa de transporte (TLS) con Chromium:

  • Confiar en las entidades de certificación (CA) proxy internas; instale entidades de certificación (CA) de confianza.

  • Permitir puntos de conexión de inicio de sesión esenciales u otros puntos de conexión necesarios.

  • Permitir puntos de conexión esenciales de red de entrega de contenido (CDN).

Conserva la configuración predeterminada de Listas de Access Control (ACL) y Nivel de integridad baja (LowIL) en las carpetas de tiempo de ejecución WebView2.

  • Un proceso de nivel de integridad baja (LowIL) debe poder leer y ejecutar los archivos binarios del tiempo de ejecución WebView2.

  • No modifiques las ACL predeterminadas que el sistema operativo establece en las carpetas del tiempo de ejecución. Los procesos del representador de espacio aislado de WebView2 se ejecutan con un nivel de integridad bajo y requieren estos permisos para funcionar correctamente.

Confiar en el tiempo de ejecución de WebView2 mediante la firma

Reconoce y confía en el tiempo de ejecución de WebView2 (msedgewebview2.exe) mediante la firma; permitir procesos secundarios.

No modifiques los archivos de tiempo de ejecución WebView2 desde los que se cargan los componentes de Windows C:\Windows\System32

No modifiques, pongas en cuarentena ni reemplaces los archivos binarios del tiempo de ejecución WebView2 que los componentes de Windows cargan directamente desde C:\Windows\System32.

Algunos componentes de Windows pueden cargar archivos binarios del tiempo de ejecución WebView2 directamente desde C:\Windows\System32. Estos archivos binarios son propiedad del sistema operativo.

Estos archivos binarios del tiempo de ejecución WebView2 propiedad del sistema operativo:

  • Es posible que no coincida con la versión del tiempo de ejecución Evergreen WebView2 que usan las aplicaciones de escritorio.

  • El mantenimiento se realiza exclusivamente a través de Windows Update, no a través del instalador WebView2.

Alinear la configuración del proxy e inspección de Seguridad de la capa de transporte (TLS)

Síntomas:

  • Errores de seguridad de la capa de transporte (TLS) (como ERR_CERT_*).

  • Errores de redireccionamiento de inicio de sesión que se producen cuando la inspección de TLS está habilitada.

Alinee la configuración del proxy y la inspección de Seguridad de la capa de transporte (TLS) con los requisitos del explorador basado en Chromium.

Si su entorno usa la inspección TLS, asegúrese de que el almacén de certificados del sistema operativo confía en los certificados de inspección.

Descifrado SSL por un firewall o proxy

Un ejemplo de uso de la inspección TLS es el descifrado SSL por un firewall o proxy.

Si el entorno enruta el tráfico a través de un servidor proxy, asegúrese de que los procesos de WebView2 puedan llegar a los puntos de conexión necesarios a través del proxy.

ERR_CERT_* de error

Problemas:

  • ERR_CERT_* errores.

  • Bucles de inicio de sesión (bucles de inicio de sesión).

  • Error de los trabajos de servicio.

La inspección de red frente a la inspección de seguridad de la capa de transporte (TLS) está mal alineada.

Soluciones

Instale la entidad de certificación (CA) raíz del proxy empresarial para que WebView2 confíe en el tráfico HTTPS interceptado.

Asegúrese de que los puntos de conexión de autenticación y de red de entrega de contenido (CDN) que usa la aplicación WebView2 están explícitamente permitidos.

Valide los puntos de conexión de autenticación y los puntos de conexión de red de entrega de contenido (CDN).

Ve:

Permitir actualizaciones del tiempo de ejecución Evergreen WebView2

No bloquees las actualizaciones del tiempo de ejecución Evergreen WebView2.

Permitir actualizaciones del tiempo de ejecución Evergreen WebView2; No bloquee el servicio.

El mantenimiento de Microsoft Edge actualiza las siguientes subcarpetas versionadas:

C:\Program Files (x86)\Microsoft\EdgeWebView\Application\<version>\

Ve:

La aplicación solo funciona con privilegios más altos

Hay una falta de coincidencia de la Lista de Access Control (ACL) con el Nivel de integridad.

Problema: la aplicación solo funciona con privilegios más altos. Se produce un error en la aplicación en los siguientes entornos:

  • Plataforma universal de Windows (UWP): aplicaciones que se ejecutan dentro del espacio aislado de aplicaciones de Windows con permisos restringidos.

  • AppContainer : un espacio aislado de seguridad de Windows que limita el acceso de un proceso solo a los recursos concedidos explícitamente.

Soluciones

Mantenga los permisos predeterminados ALL APPLICATION PACKAGES en los directorios de tiempo de ejecución de WebView2; un proceso de nivel de integridad baja (LowIL) debe leer o ejecutarse.

Ve:

Esto incluye la ruta de acceso del entorno de ejecución Evergreen WebView2 en C:\Program Files (x86)\Microsoft\EdgeWebView\Application\<version>\, que debe conservar ALL APPLICATION PACKAGES los permisos de lectura y ejecución.

El tiempo de ejecución WebView2 basado en System32 es propiedad y recibe servicio de Windows.

Las herramientas de antivirus (AV), detección y respuesta de puntos de conexión (EDR) o prevención de pérdida de datos (DLP) no deben modificar, reemplazar, poner en cuarentena ni limpiar el tiempo de ejecución de WebView2 basado en System32.

Las listas de Access Control (ACL) predeterminadas del tiempo de ejecución WebView2 basado en System32 deben conservarse exactamente como se envían.

No aplicar directivas de grupo solo para el explorador Edge

La mayoría de las directivas de grupo que se aplican a Microsoft Edge no afectan a WebView2, y las directivas no admitidas pueden romper las características de WebView2.

No use directivas de grupo solo para Microsoft Edge para afectar a WebView2.

Herramientas en las que comprobar los síntomas y las causas

Los administradores de TI pueden usar herramientas estándar de Windows para determinar si los síntomas enumerados se deben a:

  • WebView2 en bloque.
  • WebView2 no se puede inicializar.
  • WebView2 se bloquea.

Administrador de tareas

En la aplicación host, compruebe que aparece el tiempo de ejecución de WebView2 (msedgewebview2.exe) y sus procesos secundarios.

Los procesos secundarios incluyen:

  • Representador.
  • Unidad de procesamiento de gráficos (GPU).
  • red de contactos.
  • Crashpad.

Si no aparece ningún proceso secundario de WebView2, se bloquea el tiempo de ejecución de WebView2 o el desove del proceso secundario, debido a que uno de los siguientes elementos está habilitado en el equipo:

  • Control de aplicaciones de Windows Defender (WDAC).

  • Endpoint Detection and Response (EDR).

  • Inserción de biblioteca de vínculos dinámicos (DLL).

Si los procesos del procesador (o de la unidad de procesamiento de gráficos (o de la unidad de procesamiento de gráficos [GPU]) aparecen brevemente y luego desaparecen, es posible que esto termine los procesos del representador (o de la unidad de procesamiento de gráficos [GPU]):

  • Enlace de detección y respuesta de puntos de conexión (EDR).

  • Enlace antivirus (AV).

  • Inserción de biblioteca de vínculos dinámicos (DLL).

Ventana incrustada en blanco o en blanco

Si hay una ventana incrustada en blanco o en blanco, asegúrese de que los procesos WebView2 estén presentes en el Administrador de tareas.

Ve:

Visor de eventos

Visor de eventos (registros de > Windows, aplicación/sistema).

Busca:

  • Errores de inicialización de la aplicación o WebView2.

  • Control de aplicaciones de Windows Defender (WDAC) o AppLocker bloquearon eventos de ejecución .

  • Eventos de denegación de escritura de archivos de Acceso controlado a carpetas (CFA) o Prevención de pérdida de datos (DLP) que afectan a la carpeta de datos de usuario (UDF).

  • Errores de seguridad de la capa de transporte (TLS), certificado o directiva de red que afectan a los flujos de inicio de sesión.

Registros de seguridad

  • Bloques de acceso controlado a carpetas (CFA).

  • Bloques de directivas de prevención de pérdida de datos (DLP).

  • Denegaciones de AppLocker o Control de aplicaciones. Normalmente, se corresponden con síntomas como bucles de inicio de sesión, pantallas en blanco o configuraciones que no se conservan.

Diagnósticos, informes de bloqueo y eventos de procesos

Los informes de bloqueo se guardan en la carpeta de datos de usuario (UDF) de la aplicación en EBWebView\Crashpad\reports\.

Use los diagnósticos de bloqueo junto con los eventos de proceso para clasificar los errores repetidos.

Ve:

Monitor de confiabilidad

Identifique bloqueos repetidos de los procesos del representador, la unidad de procesamiento de gráficos (GPU) o el bloc de choques.

Estos bloqueos de proceso se correlacionan con:

  • Problemas de congelación.

  • Problemas con la pantalla en blanco.

  • Inestabilidad del tiempo de ejecución de WebView2.

Aplicabilidad a herramientas

Público: administradores de TI y proveedores de software de seguridad.

Hay varios tipos de aplicaciones que pueden interactuar con WebView2. A continuación se muestra la aplicabilidad a diferentes formas de WebView2.

Este artículo se aplica a las siguientes herramientas o software:

  • El tiempo de ejecución de WebView2 de Microsoft Edge (Evergreen y versión corregida).

  • Aplicaciones de escritorio de Windows que insertan el control WebView2.

  • Componentes de Windows que usan WebView2 para la parte de la interfaz de usuario basada en web.

  • Productos de interceptación de antivirus, detección de puntos de conexión y respuesta (EDR), prevención de pérdida de datos (DLP) y proxy o seguridad de la capa de transporte (TLS) que no son de Microsoft que podrían interferir con los procesos WebView2.

Ve:

Resolución de problemas de rendimiento

Público: administradores de TI y proveedores de software de seguridad.

Para usar esta sección:

  1. El Administrador de TI usa esta información para identificar un problema que el Administrador de TI está viendo con el inicio o el uso de WebView2 en su aplicación, y averiguar qué software de seguridad está causando el problema.

  2. El Administración de TI se pone en contacto con el proveedor del software de seguridad.

  3. El proveedor de software de seguridad usa este contenido para averiguar lo que debe hacer para asegurarse de que WebView2 no se bloquee.

El análisis exhaustivo o la conexión a procesos pueden ralentizar los tiempos de inicio y carga de la página.

En su lugar, usa exclusiones con ámbito para los archivos binarios del tiempo de ejecución WebView2 y la carpeta de datos de usuario (UDF), en lugar de optar por deshabilitaciones de alto riesgo y de amplio alcance.

Trate los procesos secundarios como procesos del navegador; Evite finalizar estos procesos secundarios.

Los procesos secundarios incluyen:

  • Representador.
  • Unidad de procesamiento de gráficos (GPU).
  • red de contactos.
  • Crashpad.

No finalices los procesos de Crashpad o la unidad de procesamiento de gráficos (GPU), ya que son cruciales para la estabilidad y la representación.

Ve:

Por qué aparece WebView2 en cargas de trabajo empresariales

Público: administradores de TI y proveedores de software de seguridad.

Muchas Aplicaciones Microsoft 365 y características de Windows usan WebView2 para ofrecer una interfaz de usuario moderna y coherente.

Por ejemplo, las características de Outlook dependen del tiempo de ejecución de WebView2 para funcionar.

Windows Search usa WebView2 para partes de su interfaz de usuario.

Ve:

Consulte también

Documentación para desarrolladores de Microsoft Edge:

Learn.microsoft.com:

Externo:

  • Last updated on