Impedir que ferramentas de segurança bloqueiem aplicativos WebView2

Os administradores de TI corporativos e os fornecedores de software de segurança devem seguir essas práticas recomendadas para garantir que as ferramentas de segurança não bloqueiem a funcionalidade do aplicativo WebView2 ou causem falhas nos aplicativos WebView2. Use essas práticas e procedimentos para configurar os ambientes e as ferramentas de segurança, para evitar a quebra da arquitetura de vários processos do WebView2.

Conteúdo detalhado:

Ferramentas de segurança para configurar

As ferramentas de segurança para configurar adequadamente incluem:

  • Ferramentas antivírus (AV).
  • Ferramentas de DLP (Prevenção contra Perda de Dados).
  • Ferramentas de detecção e resposta de ponto de extremidade (EDR).

As ferramentas de segurança corporativa também incluem:

  • Inspeção TLS (Transport Layer Security).

Sintomas de problemas de configuração do Enterprise

As ferramentas de segurança corporativa, se não seguirem as melhores práticas abaixo, podem interromper a arquitetura de vários processos do WebView2:

  • Bloqueio de processos filho.
  • Restringir as ACLs (Listas de Controle de Acesso) de pastas.
  • Injetar DLLs (bibliotecas de vínculo dinâmico).

Quando essa interrupção ocorre, as experiências hospedadas no WebView2 podem ficar em branco, congelar ou falhar ao inicializar.

Confira:

Atualizar as políticas de segurança corporativa, se necessário

O WebView2 respeita todas as políticas de segurança corporativa.

Se alguma ferramenta ou política não permitir que algumas das DLLs do WebView2 sejam carregadas, a Administração de TI precisará atualizar as políticas de segurança corporativa.

O WebView2 não implementa a lógica específica do aplicativo.

Incluir na lista de permitidos o WebView2 Runtime e os executáveis do host do aplicativo

Incluir na lista de permitidos o WebView2 Runtime (msedgewebview2.exe) e os executáveis do host do aplicativo.

Confira:

Preferir regras do editor.

Confira:

A inicialização do tempo de execução está bloqueada

Problemas:

  • Pode haver um erro de inicialização, como E_FAIL. Nesse caso, o controle WebView2 não será inicializado e o conteúdo do aplicativo nunca será carregado.

  • A inicialização do tempo de execução está bloqueada para qualquer uma das seguintes ferramentas:

    • Controle de Aplicativos do Windows Defender (WDAC).

    • regras de negação do AppLocker; Políticas que bloqueiam explicitamente a execução.

    • Listas de Controle de Acesso (ACLs) que foram reforçadas além das configurações padrão; permissões que se tornaram mais restritivas do que os padrões do sistema operacional.

Sintomas

  • Erros de protocolo TLS, como ERR_CERT_*.

  • Falhas de redirecionamento de logon que ocorrem quando a inspeção TLS está habilitada.

  • Um erro de inicialização imediato.

  • Não há processos filho.

  • O modo de exibição está em branco.

Soluções

Incluir na lista de permitidos o WebView2 Runtime (msedgewebview2.exe) e os executáveis do host.

Confira:

Use regras de editor.

Confira:

Restaurar ACLs (listas de Controle de Acesso) padrão.

Confira:

Preservar ACLs (listas de Controle de Acesso) padrão em pastas de tempo de execução

Não modifique as ACLs (Listas de Controle de Acesso) padrão que o Windows define nas pastas do WebView2 Runtime.

Se as ferramentas de segurança modificarem as ACLs nas pastas do WebView2 Runtime, esses processos em sandbox poderão perder as permissões necessárias para ler e executar os binários do Runtime, o que pode causar telas em branco, falhas de inicialização ou travamentos.

Confira:

Preservar LowIL (Nível de Integridade Baixo) em pastas de Runtime

Não modifique as configurações de LowIL (Nível de Integridade Baixo) em pastas de Tempo de Execução do WebView2. O WebView2 executa processos de renderização em um nível de integridade baixo, para limitar seu acesso aos recursos do sistema.

Um processo de baixo nível de integridade (LowIL) deve ser capaz de ler e executar os binários do WebView2 Runtime.

LowIL (Nível de Integridade Baixa) é um mecanismo de segurança do Windows que restringe a capacidade de um processo de gravar em objetos de integridade mais alta (como a maioria dos locais de perfil de usuário e do sistema). Os processos de renderização do WebView2 são executados em IL Baixo para reduzir o impacto de um processo comprometido.

Confira:

Preserve as ACLs (Listas de Controle de Acesso) padrão na UDF (pasta de dados do usuário) do aplicativo

Não modifique as ACLs (Listas de Controle de Acesso) padrão que o Windows define na UDF (pasta de dados do usuário) do aplicativo. A modificação dessas ACLs pode impedir que os processos LowIL e AppContainer funcionem corretamente.

AppContainer é uma área restrita do Windows mais restritiva que limita o acesso de um processo apenas a recursos concedidos explicitamente. Em versões do sistema operacional com suporte, o WebView2 pode executar processos de renderização dentro de um AppContainer, para isolamento adicional.

Eles LowIL/AppContainer devem ter permissão para:

  • Leia e execute o WebView2 Runtime.

  • Gravar na pasta de dados do usuário (UDF).

O WebView2 executa determinados processos filhos em um nível de integridade baixo (LowIL) ou dentro de uma AppContainer área restrita para limitar seu acesso aos recursos do sistema.

Esses processos em área restrita ainda devem ser capazes de:

  • Leia e execute os binários do WebView2 Runtime.

  • Gravar na UDF (pasta de dados do usuário) do aplicativo.

Se as ferramentas de segurança restringirem as ACLs (Listas de Controle de Acesso) na UDF (pasta de dados do usuário) do aplicativo, os processos em área restrita poderão perder o acesso de que precisam, o que pode causar telas em branco, falhas de inicialização ou falhas.

Os locais do sistema gerenciados pelo sistema operacional (SO) são tratados inteiramente pelo Windows e não devem ser modificados.

Confira:

Conceder permissão para gravar na pasta de dados do usuário (UDF)

Dê permissão de gravação para permitir que o aplicativo WebView2 grave na pasta de dados do usuário (UDF).

Essas gravações na UDF podem ser de:

  • Exceções de CFA (Acesso Controlado a Pastas) por aplicativo.

  • Exceções de DLP (Prevenção contra Perda de Dados) por aplicativo.

O estado do conteúdo da Web reside na UDF (pasta de dados do usuário) do aplicativo. O estado do conteúdo da Web inclui:

  • Biscoitos.
  • Cache.
  • Armazenamento local.

Confira:

Loop de entrada; estado não persistente; As configurações não persistem; Página inicial em branco

No caso de um loop de login, o estado não é mantido quando as gravações da pasta de dados do usuário (UDF) são bloqueadas.

Soluções

Permitir gravações na pasta de dados do usuário do aplicativo; use exceções de CFA (Acesso Controlado a Pastas) por aplicativo ou exceções de DLP (Prevenção contra Perda de Dados).

Evite colocar a UDF (pasta de dados do usuário) do WebView2 em um compartilhamento de rede.

Certifique-se de que as políticas de DLP (Prevenção contra Perda de Dados) não classifiquem incorretamente dados normais do navegador (como cookies, cache ou armazenamento local) como tentativas de exfiltração. Exfiltração é a transferência não autorizada de dados de um sistema, rede ou ambiente de nuvem para um destino externo sem permissão.

Confira:

Permitir acesso à pasta Runtime, processos filho e criação de processo filho

Público-alvo: Fornecedores de software de segurança.

Mantenha o acesso irrestrito à pasta WebView2 Runtime.

Permitir processos filho e não encerrá-los. Os processos filho incluem:

  • Renderizador
  • Unidade de Processamento Gráfico (GPU)
  • Rede
  • Crashpad

Mantenha a criação de processos filhos do WebView2 Runtime irrestrita; permitir o Crashpad.

Confira:

Não injete DLLs em processos do WebView2

Use conectores de segurança do Microsoft Edge.

Evite a injeção de DLL (biblioteca de vínculo dinâmico).

Não injete DLLs (bibliotecas de vínculo dinâmico) nos processos do WebView2. Em vez disso, use conectores de segurança do Microsoft Edge.

Prefira conectores de segurança do Microsoft Edge para Prevenção contra Perda de Dados (DLP), relatórios ou confiança de dispositivo.

A injeção da DLL (biblioteca de vínculo dinâmico) nos processos do renderizador ou da GPU (Unidade de Processamento Gráfico) interrompe o modelo de área restrita do Chromium e geralmente causa falhas no renderizador.

Os fornecedores de software de segurança devem usar conectores de segurança do Edge compatíveis em vez de ganchos de baixo nível.

Confira:

Falha ou congelamento

Falha ou congelamento vinculado à injeção de DLL (biblioteca de vínculo dinâmico) ou renderizador bloqueado, GPU (Unidade de Processamento Gráfico) ou Crashpad.

Confira:

O conteúdo nunca é carregado

Problema: o processo principal é iniciado, mas o conteúdo nunca é carregado e o aplicativo congela.

A geração de processos filho está bloqueada ou conectada.

Soluções

Permitir processos filho do WebView2:

  • renderizador.
  • Unidade de Processamento Gráfico (GPU).
  • Rede.
  • Crashpad.

Esses são os processos filho que o WebView2 instancia.

Evite a injeção de DLL (biblioteca de vínculo dinâmico).

Preferir conectores do Edge.

Confira:

Evite exclusões amplas e globais

Inicialização lenta

Problemas:

  • Inicialização lenta devido à varredura profunda em tempo real do WebView2 Runtime e da pasta de dados do usuário (UDF).
  • Uma tela branca transitória, ao realizar uma navegação.
  • Varredura agressiva em tempo real.
Soluções

Configurar exclusões com escopo para binários do WebView2 Runtime e pasta de dados do usuário (UDF); Evite exclusões amplas.

Ajuste a verificação com exclusões de escopo para o diretório WebView2 Runtime e a pasta de dados do usuário (UDF).

Evite exclusões amplas e globais.

Confira:

Confiar em autoridades de certificação (CAs) de proxy interno e permitir entrada essencial ou pontos de extremidade da CDN (Rede de Distribuição de Conteúdo)

Alinhe as políticas TLS (Transport Layer Security) com o Chromium:

  • Confiar em autoridades de certificação (CAs) de proxy interno; instalar ACs (Autoridades de Certificação) confiáveis.

  • Permitir pontos de extremidade de entrada essenciais ou outros pontos de extremidade necessários.

  • Permitir pontos de extremidade essenciais da CDN (Rede de Distribuição de Conteúdo).

Preserve as configurações padrão de ACLs (listas de Controle de Acesso) e baixo nível de integridade (LowIL) nas pastas do WebView2 Runtime.

  • Um processo de baixo nível de integridade (LowIL) deve ser capaz de ler e executar os binários do WebView2 Runtime.

  • Não modifique as ACLs padrão que o sistema operacional define nas pastas Runtime. Os processos de renderização em área restrita do WebView2 são executados em baixo nível de integridade e exigem essas permissões para funcionar corretamente.

Confiar no WebView2 Runtime por assinatura

Reconheça e confie no WebView2 Runtime (msedgewebview2.exe) por assinatura; permitir processos filho.

Não modifique os arquivos do WebView2 Runtime dos quais os componentes do Windows são carregados C:\Windows\System32

Não modifique, coloque em quarentena ou substitua arquivos binários do WebView2 Runtime dos quais os componentes do Windows são carregados diretamente do C:\Windows\System32.

Alguns componentes do Windows podem carregar arquivos binários do WebView2 Runtime diretamente do C:\Windows\System32. Esses arquivos binários pertencem ao sistema operacional.

Estes arquivos binários WebView2 Runtime de propriedade do sistema operacional:

  • Pode não corresponder à versão do Tempo de Execução Evergreen WebView2 usada por aplicativos da área de trabalho.

  • São atendidos exclusivamente por meio do Windows Update, não por meio de instaladores do WebView2.

Alinhar a inspeção TLS (Transport Layer Security) e a configuração de proxy

Sintomas:

  • Erros de protocolo TLS (como ERR_CERT_*).

  • Falhas de redirecionamento de logon que ocorrem quando a inspeção TLS está habilitada.

Alinhe a inspeção TLS (Transport Layer Security) e a configuração de proxy com os requisitos de navegador baseados no Chromium.

Se o seu ambiente usa a inspeção TLS, verifique se os certificados de inspeção são confiáveis para o armazenamento de certificados do sistema operacional.

Descriptografia SSL por um firewall ou proxy

Um exemplo de uso da inspeção TLS é a descriptografia SSL por um firewall ou proxy.

Se o seu ambiente roteia o tráfego por meio de um servidor proxy, certifique-se de que os processos do WebView2 possam alcançar os pontos de extremidade necessários por meio do proxy.

ERR_CERT_* de erro

Problemas:

  • ERR_CERT_* erros.

  • Loops de login (loops de login).

  • Falha dos trabalhadores de serviço.

A inspeção de rede versus a inspeção TLS (Transport Layer Security) está desalinhada.

Soluções

Instale a CA (Autoridade de Certificação) raiz do proxy corporativo para que o WebView2 confie no tráfego HTTPS interceptado.

Certifique-se de que os pontos de extremidade de autenticação e os pontos de extremidade da CDN (Rede de Distribuição de Conteúdo) usados pelo aplicativo WebView2 sejam explicitamente permitidos.

Valide os pontos de extremidade de autenticação e os pontos de extremidade da CDN (Rede de Distribuição de Conteúdo).

Confira:

Permitir atualizações do Evergreen WebView2 Runtime

Não bloqueie atualizações do Evergreen WebView2 Runtime.

Permitir atualizações do Evergreen WebView2 Runtime; Não bloqueie a manutenção.

A manutenção do Microsoft Edge atualiza as seguintes subpastas com versão:

C:\Program Files (x86)\Microsoft\EdgeWebView\Application\<version>\

Confira:

O aplicativo só funciona com privilégios mais altos

Há uma incompatibilidade da ACL (Lista de Controle de Acesso) com o Nível de Integridade.

Problema: o aplicativo funciona apenas com privilégios mais altos. O aplicativo falha nos seguintes ambientes:

  • Plataforma Universal do Windows (UWP) – Aplicativos que são executados dentro da área restrita do aplicativo Windows com permissões restritas.

  • AppContainer — Uma área restrita de segurança do Windows que limita o acesso de um processo apenas a recursos concedidos explicitamente.

Soluções

Mantenha as permissões padrão ALL APPLICATION PACKAGES nos diretórios de tempo de execução do WebView2; um processo de baixo nível de integridade (LowIL) deve ler/executar.

Confira:

Isso inclui o caminho Evergreen WebView2 Runtime em C:\Program Files (x86)\Microsoft\EdgeWebView\Application\<version>\, que deve manter ALL APPLICATION PACKAGES as permissões de Leitura/Execução.

O WebView2 Runtime baseado em System32 pertence ao Windows e é atendido pelo Windows.

O WebView2 Runtime baseado em System32 não deve ser modificado, substituído, colocado em quarentena ou limpo por ferramentas antivírus (AV), EDR (Detecção e Resposta de Ponto de Extremidade) ou DLP (Prevenção de Perda de Dados).

As ACLs (listas de Controle de Acesso) padrão do WebView2 Runtime baseado em System32 devem ser preservadas exatamente como enviadas.

Não aplicar políticas de grupo somente do navegador Edge

A maioria das políticas de grupo que se aplicam ao Microsoft Edge não afeta o WebView2 e políticas sem suporte podem interromper os recursos do WebView2.

Não use políticas de grupo somente do Microsoft Edge para afetar o WebView2.

Ferramentas para marcar os sintomas e causas

Os administradores de TI podem usar ferramentas padrão do Windows para determinar se os sintomas listados são causados por:

  • WebView2 sendo bloqueado.
  • Falha ao inicializar o WebView2.
  • WebView2 falhando.

Gerenciador de Tarefas

No aplicativo host, verifique se o WebView2 Runtime (msedgewebview2.exe) e seus processos filho são exibidos.

Os processos filho incluem:

  • renderizador.
  • Unidade de Processamento Gráfico (GPU).
  • Rede.
  • Crashpad.

Se nenhum processo filho do WebView2 for exibido, o WebView2 Runtime ou a geração do processo filho será bloqueado, devido a um dos seguintes estar habilitado no computador:

  • Controle de Aplicativos do Windows Defender (WDAC).

  • Detecção e resposta de ponto de extremidade (EDR).

  • Injeção de DLL (biblioteca de vínculo dinâmico).

Se os processos de renderizador (ou GPU (Unidade de Processamento Gráfico)) aparecerem brevemente e depois desaparecerem, o seguinte poderá estar encerrando os processos de renderizador (ou GPU (Unidade de Processamento Gráfico)):

  • Conexão de EDR (Detecção e Resposta de Ponto de Extremidade).

  • Gancho antivírus (AV).

  • Injeção de DLL (biblioteca de vínculo dinâmico).

Janela inserida em branco ou branca

Se houver uma janela inserida em branco ou branca, verifique se os processos do WebView2 estão presentes no Gerenciador de Tarefas.

Confira:

Visualizador de Eventos

Visualizador de Eventos (Aplicativo/Sistema de Logs > do Windows).

Procure por:

  • Falhas de inicialização do aplicativo ou do WebView2.

  • O Windows Defender Application Control (WDAC) ou o AppLocker bloquearam eventos de execução .

  • Eventos de negação de gravação de arquivo de Acesso Controlado à Pasta (CFA) ou Prevenção contra Perda de Dados (DLP) que afetam a pasta de dados do usuário (UDF).

  • Falhas de protocolo TLS, certificado ou política de rede que afetam os fluxos de entrada.

Logs de segurança

  • blocos de CFA (Acesso Controlado a Pastas).

  • Blocos de política DLP (Prevenção contra Perda de Dados).

  • Negações do AppLocker ou do Controle de Aplicativos. Geralmente, eles são mapeados para sintomas como loops de login, telas em branco ou configurações que não persistem.

Diagnósticos, relatórios de falhas e eventos de processo

Os relatórios de falha são salvos na UDF (pasta de dados do usuário) do aplicativo em EBWebView\Crashpad\reports\.

Use diagnósticos de falha junto com eventos de processo para fazer a triagem de falhas repetidas.

Confira:

Monitor de Confiabilidade

Identifique falhas repetidas de processos de renderizador, GPU (Unidade de Processamento Gráfico) ou Crashpad.

Essas falhas de processo estão correlacionadas com:

  • Problemas de congelamento.

  • Problemas de tela em branco.

  • Instabilidade do WebView2 Runtime.

Aplicabilidade às ferramentas

Público-alvo: Administradores de TI e fornecedores de software de segurança.

Vários tipos de aplicativos podem interagir com o WebView2. A seguir está a aplicabilidade a diferentes formas de WebView2.

Este artigo se aplica às seguintes ferramentas ou software:

  • O Microsoft Edge WebView2 Runtime (Evergreen e versão fixa).

  • Aplicativos da área de trabalho do Windows que incorporam o controle WebView2.

  • Componentes do Windows que usam o WebView2 para a parte baseada na Web da interface do usuário.

  • Produtos antivírus, EDR (Detecção e Resposta de Ponto de Extremidade), Prevenção contra Perda de Dados (DLP) e produtos de interceptação de proxy ou TLS (Transport Layer Security) que não são da Microsoft que podem interferir nos processos do WebView2.

Confira:

Resolvendo problemas de desempenho

Público-alvo: Administradores de TI e fornecedores de software de segurança.

Para usar esta seção:

  1. A Administração de TI usa essas informações para identificar um problema que a Administração de TI está enfrentando ao iniciar ou usar o WebView2 em seu aplicativo e descobrir qual software de segurança está causando o problema.

  2. A Administração de TI contata o fornecedor do software de segurança.

  3. O fornecedor do software de segurança usa esse conteúdo para descobrir o que precisa fazer para garantir que o WebView2 não seja bloqueado.

A verificação extensiva ou a conexão com processos pode reduzir o tempo de inicialização e carregamento da página.

Em vez disso, use exclusões com escopo para binários do WebView2 Runtime e UDF (pasta de dados do usuário), em vez de optar por desabilitações abrangentes e de alto risco.

Trate os processos filho como processos do navegador; Evite encerrar esses processos filho.

Os processos filho incluem:

  • renderizador.
  • Unidade de Processamento Gráfico (GPU).
  • Rede.
  • Crashpad.

Não encerre os processos de Crashpad ou GPU (Unidade de Processamento Gráfico), pois eles são cruciais para a estabilidade e a renderização.

Confira:

Por que o WebView2 aparece em cargas de trabalho corporativas

Público-alvo: Administradores de TI e fornecedores de software de segurança.

Muitos recursos do Microsoft 365 Apps e do Windows usam o WebView2 para fornecer uma interface de usuário moderna e consistente.

Por exemplo, os recursos do Outlook dependem do WebView2 Runtime para funcionar.

O Windows Search usa o WebView2 para partes de sua interface do usuário.

Confira:

Consulte também

Microsoft Edge Documentação do Desenvolvedor:

Learn.microsoft.com:

Externo:

  • Last updated on