Empêcher les outils de sécurité de bloquer les applications WebView2

Les administrateurs informatiques d’entreprise et les fournisseurs de logiciels de sécurité doivent suivre ces meilleures pratiques pour s’assurer que les outils de sécurité ne bloquent pas les fonctionnalités de l’application WebView2 ou ne provoquent pas de blocage des applications WebView2. Utilisez ces pratiques et procédures pour configurer les environnements et les outils de sécurité, afin d’éviter de casser l’architecture multi-processus de WebView2.

Contenu détaillé :

Outils de sécurité à configurer

Les outils de sécurité à configurer correctement sont les suivants :

  • Outils antivirus.
  • Outils de protection contre la perte de données (DLP).
  • Outils de détection et de réponse aux points de terminaison (EDR).

Les outils de sécurité d’entreprise comprennent également :

  • Inspection TLS (Transport Layer Security).

Symptômes des problèmes de configuration d’entreprise

Les outils de sécurité d’entreprise, s’ils ne suivent pas les meilleures pratiques ci-dessous, peuvent perturber l’architecture multi-processus de WebView2 en :

  • Blocage des processus enfants.
  • Resserrement des listes Access Control dossiers (ACL).
  • Injection de bibliothèques de liens dynamiques (DLL).

Lorsqu’une telle perturbation se produit, les expériences hébergées par WebView2 peuvent afficher un écran vide, se figer ou ne pas s’initialiser.

Voir :

Mettre à jour les stratégies de sécurité de l’entreprise si nécessaire

WebView2 respecte toutes les politiques de sécurité de l’entreprise.

Si des outils ou des stratégies ne permettent pas de charger certaines des DLL WebView2, le Administration informatique doit mettre à jour les stratégies de sécurité de l’entreprise.

WebView2 n’implémente pas de logique spécifique à l’application.

Ajouter aux listes d’autorisation les exécutables hôtes du runtime WebView2 et de l’application

Mettez en liste d’autorisation le WebView2 Runtime (msedgewebview2.exe) et les exécutables hôtes de l’application.

Voir :

Préférer les règles de l’éditeur.

Voir :

L’initialisation du runtime est bloquée

Enjeux :

  • Il peut y avoir une erreur d’initialisation, telle que E_FAIL. Dans ce cas, le contrôle WebView2 ne parvient pas à s’initialiser et le contenu de l’application ne se charge jamais.

  • L’initialisation du runtime est bloquée pour les outils suivants :

    • Contrôle d’application Windows Defender (WDAC).

    • Règles de refus AppLocker ; Stratégies qui bloquent explicitement l’exécution.

    • Listes de contrôle d’accès (ACL) qui ont été renforcées au-delà des paramètres par défaut ; les autorisations rendues plus restrictives que les valeurs par défaut du système d’exploitation.

Symptômes

  • Erreurs TLS (Transport Layer Security), telles que ERR_CERT_*.

  • Échecs de redirection de connexion qui se produisent lorsque l’inspection TLS (Transport Layer Security) est activée.

  • Erreur d’initialisation immédiate.

  • Il n’existe aucun processus enfant.

  • La vue est vide.

Solutions

Mettez en liste verte le runtime WebView2 (msedgewebview2.exe) et les exécutables de l’hôte.

Voir :

Utiliser les règles de l’éditeur.

Voir :

Restaurez les listes de contrôle d’accès contrôle (ACL) par défaut.

Voir :

Conserver les listes de Access Control (ACL) par défaut dans les dossiers Runtime

Ne modifiez pas les listes de Access Control (ACL) par défaut que Windows définit sur les dossiers WebView2 Runtime.

Si les outils de sécurité modifient les listes de contrôle d’accès sur les dossiers WebView2 Runtime, ces processus bac à sable peuvent perdre les autorisations nécessaires pour lire et exécuter les fichiers binaires Runtime, ce qui peut provoquer des écrans vides, des échecs d’initialisation ou des blocages.

Voir :

Préserver le niveau d’intégrité faible (LowIL) sur les dossiers d’exécution

Ne modifiez pas les paramètres du niveau d’intégrité faible (LowIL) dans les dossiers WebView2 Runtime. WebView2 exécute les processus de rendu à un niveau d’intégrité faible, afin de limiter leur accès aux ressources système.

Un processus à faible niveau d’intégrité (LowIL) doit être capable de lire et d’exécuter les fichiers binaires du runtime WebView2.

Le niveau d’intégrité bas (LowIL) est un mécanisme de sécurité Windows qui limite la capacité d’un processus à écrire dans des objets à intégrité supérieure (tels que la plupart des emplacements de profil utilisateur et système). Les processus du moteur de rendu WebView2 s’exécutent à une faible IL pour réduire l’impact d’un processus compromis.

Voir :

Conserver les listes de contrôle d’accès Control (ACL) par défaut dans le dossier de données utilisateur (UDF) de l’application

Ne modifiez pas les listes de Access Control (ACL) par défaut que Windows définit sur le dossier de données utilisateur (UDF) de l’application. La modification de ces listes de contrôle d’accès peut empêcher le bon fonctionnement des processus LowIL et AppContainer.

AppContainer est un bac à sable Windows plus restrictif qui limite l’accès d’un processus aux ressources explicitement accordées. Sur les versions de système d’exploitation prises en charge, WebView2 peut exécuter des processus de rendu à l’intérieur d’un AppContainer, pour une isolation supplémentaire.

Vous LowIL/AppContainer devez avoir l’autorisation de :

  • Lire et exécuter le runtime WebView2.

  • Écrire dans le dossier de données utilisateur (UDF).

WebView2 exécute certains processus enfants à un niveau d’intégrité faible (LowIL) ou à l’intérieur d’un AppContainer bac à sable pour limiter leur accès aux ressources système.

Ces processus bac à sable doivent toujours pouvoir :

  • Lire et exécuter les fichiers binaires WebView2 Runtime.

  • Écrire dans le dossier de données utilisateur (UDF) de l’application.

Si les outils de sécurité resserrent les listes de Access Control (ACL) sur le dossier des données utilisateur (UDF) de l’application, les processus bac à sable risquent de perdre l’accès dont ils ont besoin, ce qui peut provoquer des écrans vides, des échecs d’initialisation ou des blocages.

Les emplacements système gérés par le système d’exploitation sont entièrement gérés par Windows et ne doivent pas être modifiés.

Voir :

Accorder l’autorisation d’écrire dans le dossier de données utilisateur (UDF)

Accordez une autorisation d’écriture pour permettre à l’application WebView2 d’écrire dans le dossier des données utilisateur (UDF).

Ces écritures dans la FDU peuvent provenir de :

  • Exceptions d’accès contrôlé aux dossiers (CFA) par application.

  • Exceptions de protection contre la perte de données (DLP) par application.

L’état du contenu Web se trouve dans le dossier des données utilisateur (UDF) de l’application. L’état du contenu Web inclut :

  • Cookies.
  • mis en cache.
  • Stockage local.

Voir :

Boucle de connexion ; état non persistant ; les paramètres ne sont pas persistants ; Page initiale vierge

Dans le cas d’une boucle de connexion, l’état n’est pas conservé lorsque les écritures du dossier de données utilisateur (UDF) sont bloquées.

Solutions

Autoriser les écritures dans le dossier des données utilisateur de l’application ; utiliser des exceptions d’accès contrôlé aux dossiers (CFA) par application ou des exceptions de protection contre la perte de données (DLP).

Évitez de placer le dossier de données utilisateur (UDF) WebView2 sur un partage réseau.

Assurez-vous que les stratégies de protection contre la perte de données (DLP) ne classent pas à tort des données de navigateur normales (telles que les cookies, le cache ou le stockage local) comme des tentatives d’exfiltration. L’exfiltration est le transfert non autorisé de données d’un système, d’un réseau ou d’un environnement cloud vers une destination externe sans autorisation.

Voir :

Autoriser l’accès aux dossiers d’exécution, les processus enfants et la création de processus enfants

Public : fournisseurs de logiciels de sécurité.

Conservez l’accès au dossier WebView2 Runtime.

Autorisez les processus enfants et ne les mettez pas fin à ceux-ci. Les processus enfants sont les suivants :

  • Convertisseur
  • Processeur graphique (GPU)
  • Network
  • Crashpad

Garder la création de processus enfant WebView2 Runtime sans restriction ; autoriser Crashpad.

Voir :

N’injectez pas de DLL dans les processus WebView2

Utilisez les connecteurs de sécurité Microsoft Edge.

Évitez l’injection de bibliothèques de liens dynamiques (DLL).

N’injectez pas de bibliothèques de liens dynamiques (DLL) dans les processus WebView2. Utilisez plutôt les connecteurs de sécurité Microsoft Edge.

Préférez les connecteurs de sécurité Microsoft Edge pour la protection contre la perte de données (DLP), la création de rapports ou l’approbation de l’appareil.

L’injection de bibliothèques de liens dynamiques (DLL) dans les processus du moteur de rendu ou de l’unité de traitement graphique (GPU) rompt le modèle de bac à sable de Chromium et provoque généralement des plantages du moteur de rendu.

Les fournisseurs de logiciels de sécurité doivent utiliser des connecteurs de sécurité Edge pris en charge au lieu de hooks de bas niveau.

Voir :

Blocages ou blocage

Blocage ou blocage lié à l’injection de bibliothèque de liens dynamiques (DLL) ou au moteur de rendu bloqué, à l’unité de traitement graphique (GPU) ou au crash pad.

Voir :

Le contenu ne se charge jamais

Problème : le processus principal démarre, mais le contenu ne se charge jamais et l’application se fige.

La génération de processus enfants est bloquée ou accrochée.

Solutions

Autoriser les processus enfants WebView2 :

  • Rendu.
  • Processeur graphique (GPU).
  • réseau Azure.
  • Crashpad.

Il s’agit des processus enfants que WebView2 instancie.

Évitez l’injection de bibliothèques de liens dynamiques (DLL).

Préférez les connecteurs Edge.

Voir :

Éviter les exclusions globales larges

Ralentissement du démarrage

Enjeux :

  • Démarrage lent en raison d’une analyse approfondie en temps réel du runtime WebView2 et du dossier de données utilisateur (UDF).
  • Écran blanc transitoire lors de l’exécution d’une navigation.
  • Analyse agressive en temps réel.
Solutions

Configurer des exclusions définies pour les fichiers binaires WebView2 Runtime et le dossier de données utilisateur (UDF) ; Évitez les exclusions larges.

Réglez l’analyse avec des exclusions définies pour le répertoire WebView2 Runtime et le dossier de données utilisateur (UDF).

Évitez les exclusions générales et globales.

Voir :

Faites confiance aux autorités de certification du proxy interne et autorisez les points de terminaison de connexion ou de réseau de distribution de contenu (CDN) essentiels

Aligner les stratégies TLS (Transport Layer Security) sur Chromium :

  • Faire confiance aux autorités de certification (CA) du proxy interne ; installer des autorités de certification approuvées.

  • Autoriser les points de terminaison de connexion essentiels ou d’autres points de terminaison requis.

  • Autorisez les points de terminaison essentiels du réseau de distribution de contenu (CDN).

Conservez les paramètres par défaut des listes de Access Control (ACL) et du niveau d’intégrité faible (LowIL) sur les dossiers WebView2 Runtime.

  • Un processus à faible niveau d’intégrité (LowIL) doit être capable de lire et d’exécuter les fichiers binaires du runtime WebView2.

  • Ne modifiez pas les listes de contrôle d’accès par défaut que le système d’exploitation définit sur les dossiers Runtime. Les processus de rendu bac à sable de WebView2 s’exécutent à un niveau d’intégrité faible et nécessitent ces autorisations pour fonctionner correctement.

Approuver le runtime WebView2 par signature

Reconnaître et approuver le runtime WebView2 (msedgewebview2.exe) par signature ; autoriser les processus enfants.

Ne modifiez pas les fichiers WebView2 Runtime à partir desquels les composants Windows se chargent C:\Windows\System32

Ne modifiez pas, ne mettez pas en quarantaine ou ne remplacez pas les fichiers binaires WebView2 Runtime que les composants Windows chargent directement à partir de C:\Windows\System32.

Certains composants Windows peuvent charger les fichiers binaires WebView2 Runtime directement à partir de C:\Windows\System32. Ces fichiers binaires appartiennent au système d’exploitation.

Ces fichiers binaires WebView2 Runtime appartenant au système d’exploitation :

  • Peut ne pas correspondre à la version d’Evergreen WebView2 Runtime utilisée par les applications de bureau.

  • Sont tenus en charge exclusivement par Windows Update, et non par les programmes d’installation WebView2.

Aligner l’inspection TLS (Transport Layer Security) et la configuration du proxy

Symptômes :

  • Erreurs TLS (Transport Layer Security) (telles que ERR_CERT_*).

  • Échecs de redirection de connexion qui se produisent lorsque l’inspection TLS est activée.

Alignez l’inspection TLS (Transport Layer Security) et la configuration du proxy sur les exigences du navigateur basé sur Chromium.

Si votre environnement utilise l’inspection TLS, assurez-vous que les certificats d’inspection sont approuvés par le magasin de certificats du système d’exploitation.

Déchiffrement SSL par un pare-feu ou un proxy

Un exemple d’utilisation de l’inspection TLS est le déchiffrement SSL par un pare-feu ou un proxy.

Si votre environnement achemine le trafic via un serveur proxy, assurez-vous que les processus WebView2 peuvent atteindre les points de terminaison requis via le proxy.

ERR_CERT_* erreur

Enjeux :

  • ERR_CERT_* le sont aussi.

  • Boucles de connexion (boucles de connexion).

  • Échec des workers du service.

L’inspection du réseau par rapport à l’inspection TLS (Transport Layer Security) n’est pas alignée.

Solutions

Installez l’autorité de certification racine du proxy d’entreprise afin que WebView2 approuve le trafic HTTPS intercepté.

Assurez-vous que les points de terminaison d’authentification et de réseau de distribution de contenu (CDN) utilisés par l’application WebView2 sont explicitement autorisés.

Validez les points de terminaison d’authentification et de réseau de distribution de contenu (CDN).

Voir :

Autoriser les mises à jour d’Evergreen WebView2 Runtime

Ne bloquez pas les mises à jour du runtime Evergreen WebView2.

Autoriser les mises à jour du runtime Evergreen WebView2 ; Ne bloquez pas la maintenance.

La maintenance de Microsoft Edge met à jour les sous-dossiers versionnés suivants :

C:\Program Files (x86)\Microsoft\EdgeWebView\Application\<version>\

Voir :

L’application fonctionne uniquement avec des privilèges plus élevés

Il existe une incompatibilité de la liste Access Control (ACL) avec le niveau d’intégrité.

Problème : l’application ne fonctionne qu’avec un privilège plus élevé. L’application échoue dans les environnements suivants :

  • plateforme Windows universelle (UWP) : applications qui s’exécutent à l’intérieur du bac à sable des applications Windows avec des autorisations restreintes.

  • AppContainer : bac à sable de sécurité Windows qui limite l’accès d’un processus aux ressources explicitement accordées.

Solutions

Conserver les autorisations par défaut ALL APPLICATION PACKAGES sur les répertoires WebView2 Runtime ; un processus à faible niveau d’intégrité (LowIL) doit lire/s’exécuter.

Voir :

Cela inclut le chemin d’accès Evergreen WebView2 Runtime sous C:\Program Files (x86)\Microsoft\EdgeWebView\Application\<version>\, qui doit conserver ALL APPLICATION PACKAGES les autorisations de lecture/exécution.

Le runtime WebView2 basé sur System32 est détenu et géré par Windows.

Le runtime WebView2 basé sur System32 ne doit pas être modifié, remplacé, mis en quarantaine ou nettoyé par un antivirus (AV), une détection et une réponse de point de terminaison (EDR) ou un outil de protection contre la perte de données (DLP).

Les listes de Access Control (ACL) par défaut du runtime WebView2 basé sur System32 doivent être conservées exactement telles qu’elles ont été livrées.

Ne pas appliquer des stratégies de groupe navigateur Edge uniquement

La plupart des stratégies de groupe qui s’appliquent à Microsoft Edge n’affectent pas WebView2 et les stratégies non prises en charge peuvent endommager les fonctionnalités de WebView2.

N’utilisez pas de stratégies de groupe uniquement Microsoft Edge pour affecter WebView2.

Outils permettant de vérifier les symptômes et les causes dans lesquels la case activée

Les administrateurs informatiques peuvent utiliser les outils Windows standard pour déterminer si les symptômes répertoriés sont dus à :

  • WebView2 bloqué.
  • Échec de l’initialisation de WebView2.
  • Blocage de WebView2.

Gestionnaire des tâches

Sous l’application hôte, vérifiez que WebView2 Runtime (msedgewebview2.exe) et ses processus enfants apparaissent.

Les processus enfants sont les suivants :

  • Rendu.
  • Processeur graphique (GPU).
  • réseau Azure.
  • Crashpad.

Si aucun processus enfant WebView2 n’apparaît, le runtime WebView2 ou la génération de processus enfants est bloqué, car l’une des opérations suivantes est activée sur la machine :

  • Contrôle d’application Windows Defender (WDAC).

  • Détection de point de terminaison et réponse (EDR).

  • Injection de bibliothèque de liens dynamiques (DLL).

Si les processus du moteur de rendu (ou de l’unité de traitement graphique (GPU)) apparaissent brièvement, puis disparaissent, les éléments suivants peuvent mettre fin aux processus du moteur de rendu (ou de l’unité de traitement graphique [GPU]) :

  • Accrochage de la détection et de la réponse aux points de terminaison (EDR).

  • Accrochage de l’antivirus.

  • Injection de bibliothèque de liens dynamiques (DLL).

Fenêtre incorporée vide ou blanche

S’il existe une fenêtre incorporée vide ou blanche, assurez-vous que les processus WebView2 sont présents dans le Gestionnaire des tâches.

Voir :

Observateur d’événements

Observateur d’événements d’événements (Windows Logs > Application/Système).

Rechercher :

  • Échecs d’initialisation de l’application ou de WebView2.

  • Événements d’exécution bloqués par le contrôle d’application Windows Defender (WDAC) ou AppLocker.

  • Événements de refus d’écriture de fichier d’accès contrôlé (CFA) ou de protection contre la perte de données (DLP) qui affectent le dossier de données utilisateur (UDF).

  • Échecs de TLS, de certificat ou de stratégie réseau de Transport Layer Security qui affectent les flux de connexion.

Journaux de sécurité

  • blocs d’accès contrôlé aux dossiers (CFA).

  • Blocs de stratégie de protection contre la perte de données (DLP).

  • Refus d’AppLocker ou de Contrôle d’application. Ceux-ci sont généralement mappés à des symptômes tels que des boucles de connexion, des écrans vides ou des paramètres non persistants.

Diagnostics, rapports d’incident et événements de processus

Les rapports d’incident sont enregistrés sous le dossier de données utilisateur (UDF) de l’application à EBWebView\Crashpad\reports\.

Utilisez les diagnostics d’incident avec les événements de processus pour trier les échecs répétés.

Voir :

Analyseur de fiabilité

Identifier les blocages répétés des processus du moteur de rendu, de l’unité de traitement graphique (GPU) ou du crashpad.

Ces incidents de processus sont corrélés à :

  • Problèmes de gel.

  • Problèmes d’écran vide.

  • Instabilité du runtime WebView2.

Applicabilité aux outils

Public : administrateurs informatiques et fournisseurs de logiciels de sécurité.

Différents types d’applications peuvent interagir avec WebView2. Les éléments suivants sont applicables aux différentes formes de WebView2.

Cet article s’applique aux outils ou logiciels suivants :

  • Le runtime Microsoft Edge WebView2 (version Evergreen et version fixe).

  • Applications de bureau Windows qui incorporent le contrôle WebView2.

  • Composants Windows qui utilisent WebView2 pour la partie Web de l’interface utilisateur.

  • Les produits non Microsoft antivirus, EDR (Endpoint Detection and Response), Data Loss Prevention (DLP) et proxy ou d’interception TLS (Transport Layer Security) non Microsoft susceptibles d’interférer avec les processus WebView2.

Voir :

Résolution des problèmes de performances

Public : administrateurs informatiques et fournisseurs de logiciels de sécurité.

Pour utiliser cette section :

  1. Le Administration informatique utilise ces informations pour identifier un problème que le Administration informatique rencontre lors du lancement ou de l’utilisation de WebView2 dans son application et déterminer quel logiciel de sécurité est à l’origine du problème.

  2. L’Administration informatique contacte le fournisseur du logiciel de sécurité.

  3. Le fournisseur de logiciels de sécurité utilise ce contenu pour déterminer ce qu’il doit faire pour s’assurer que WebView2 n’est pas bloqué.

Une analyse approfondie ou une connexion aux processus peut ralentir les temps de démarrage et de chargement des pages.

Utilisez plutôt des exclusions définies pour les fichiers binaires WebView2 Runtime et le dossier de données utilisateur (UDF) plutôt que d’opter pour des désactivations à large éventail et à haut risque.

Traiter les processus enfants comme des processus de navigateur ; évitez d’arrêter ces processus enfants.

Les processus enfants sont les suivants :

  • Rendu.
  • Processeur graphique (GPU).
  • réseau Azure.
  • Crashpad.

Ne mettez pas fin aux processus Crashpad ou GPU (Graphics Processing Unit), car ils sont cruciaux pour la stabilité et le rendu.

Voir :

Pourquoi WebView2 apparaît dans les charges de travail d’entreprise

Public : administrateurs informatiques et fournisseurs de logiciels de sécurité.

De nombreuses fonctionnalités de Microsoft 365 Apps et de Windows utilisent WebView2 pour fournir une interface utilisateur moderne et cohérente.

Par exemple, les fonctionnalités Outlook s’appuient sur WebView2 Runtime pour fonctionner.

Windows Search utilise WebView2 pour certaines parties de son interface utilisateur.

Voir :

Voir également

Documentation pour développeurs Microsoft Edge :

Learn.microsoft.com :

Externe :

  • Dernière mise à jour :