WinHTTPAutoProxySvc : désactiver le service sur Windows Server 2022 sans proxy en toute sécurité

Vous administrez des contrôleurs de domaine Windows Server 2022 sans proxy et vous vous demandez si le service WinHTTP Web Proxy Auto‑Discovery (WinHTTPAutoProxySvc) est réellement indispensable ou s’il ralentit inutilement le démarrage ? Découvrez quand et comment le désactiver sans compromettre Windows Update ni la sécurité.

Sommaire

Comprendre le rôle exact de WinHTTPAutoProxySvc

Le service WinHTTPAutoProxySvc exécute la logique WPAD : il interroge le réseau à l’aide de requêtes DNS et DHCP pour localiser un script Proxy Auto‑Config (.pac). Lorsque cette détection aboutit, il expose la configuration proxy aux appels WinHTTP de l’ensemble du système :

Windows Update et Microsoft Store ;
Microsoft Defender et SmartScreen ;
Services d’activation et de télémétrie Azure Arc, AAD, MECM, etc. ;
Rôles et fonctionnalités IIS s’appuyant sur le modèle WinHTTP Server API.

En d’autres termes, WinHTTPAutoProxySvc ne sert qu’à l’autodécouverte. Si un proxy est défini manuellement (via netsh winhttp set proxy ou stratégie GPO), le moteur WinHTTP n’appelle plus ce service : il fournit directement la configuration stockée.

Pourquoi le service est-il encore lancé ?

Depuis Windows 10 v1607 et Windows Server 2016, son type de démarrage est passé à « Manuel (démarrage déclenché) ». Le gestionnaire de services ne le démarre que lorsqu’un composant WinHTTP exige une détection WPAD ; typiquement, au premier WinHttpGetProxyForUrl exécuté par Windows Update après un redémarrage. Dans la plupart des environnements sans proxy, la requête échoue immédiatement ; le service se quitte, libérant la mémoire.

Scénarios où la désactivation est sûre

Condition	Pourquoi la désactivation est sans risque
Aucun proxy, PAC ni WPAD actuel ou prévu	Les appels WinHTTP basculent naturellement sur une connexion directe (DIRECT). Windows Update, SmartScreen et Defender continuent d’accéder aux noeuds Microsoft sans intermédiaire.
Accès Internet direct autorisé par pare‑feu	Les plages IP/de noms `.windowsupdate.com`, `.download.windowsupdate.com`, etc., sont jointes en HTTPS 443. L’absence de proxy ou d’autodécouverte ne gêne pas la négociation TLS.
WSUS interne avec adresse URL fixe	Le client Windows Update (`wuauserv`) communique via HTTP 80/HTTPS 443 en local. Là encore, WinHTTPAutoProxySvc n’intervient que si UseAutomaticSettings = 1. Avec un WSUS statique, elle vaut 0.

Cas où il vaut mieux le conserver actif

Mobilité / VPN / Split‑tunneling : un même serveur rejoint périodiquement un sous‑réseau exigeant un proxy sortant. WinHTTPAutoProxySvc garantit le basculement automatique, sans scripts PowerShell ni redémarrage.
Proxy explicite mais authentifié par PAC : l’URL http://wpad.mycorp.tld/proxy.pac contient la logique SSO/Kerberos ; sans autodécouverte, WinHTTP ne saura pas quelle URL interroger.
Infrastructure hybride Azure AD Join + Intune : les agents MDM utilisent WPAD pour atteindre login.microsoftonline.com ou graph.microsoft.com via un proxy forward sortant.
Conformité SOC 2 / ISO 27001 : certaines politiques exigent l’usage centralisé d’un proxy de filtrage. Désactiver le service pourrait générer une non‑conformité.

Procédure pas à pas pour désactiver WinHTTPAutoProxySvc

Ouvrez un CMD admin ou Windows PowerShell (élevé).
Interrompez le service s’il est lancé :
sc stop WinHTTPAutoProxySvc
Désactivez son démarrage :
sc config WinHTTPAutoProxySvc start= disabled Notez l’espace après start=, impératif pour sc.exe.
Forcez une détection Windows Update afin de vérifier qu’aucune erreur 8024402F/0x8024401C n’apparaît :
UsoClient StartScan # Windows Server 2022 # ou wuauclt /detectnow # commandes héritées
Analysez le journal généré (Get‑WindowsUpdateLog) ; assurez‑vous que les connexions sortantes se font en DIRECT ou via l’URL WSUS ;
Ajoutez l’étape dans un fichier .ps1 ou un script Ansible/DSC pour pérenniser le paramètre sur vos contrôleurs.

Réactiver rapidement en cas de besoin

Si, demain, un proxy devient indispensable :

sc config WinHTTPAutoProxySvc start= demand
sc start WinHTTPAutoProxySvc
# puis
netsh winhttp reset proxy
netsh winhttp import proxy source=ie  # si vous migrez un proxy statique existant

Cette intervention est sans redémarrage ; les appels WinHTTP suivants (Update, Defender) se serviront immédiatement du résultat WPAD.

Performance et sécurité : idées reçues vs. réalité

« Le service ralentit le boot » : faux

Dans l’état Manual / Trigger, le service n’est ni lancé ni pré‑chargé en mémoire au démarrage. La seule latence apparaît lors de la première requête WinHttpGetProxyForUrl. Sur un réseau sans serveur WPAD, le timeout DNS est < 30 ms – imperceptible.

« Windows Update nécessite absolument WPAD » : faux

Windows Update requiert une route HTTP/HTTPS valide. Il préfère WPAD s’il ne dispose pas de configuration policy‑based ; sinon, il sort directement. Ce comportement est documenté (KB 449814). La confusion vient du passé : sous Windows XP/Vista, Windows Update utilisait l’API WinInet, partagée avec Internet Explorer, beaucoup plus stricte côté proxy.

« Désactiver un service système abaisse la surface d’attaque » : vrai, mais seulement si le service écoute

WinHTTPAutoProxySvc n’ouvre pas de port réseau ; il agit uniquement comme client. Son code tourne sous NT AUTHORITY\LocalService, avec restrictions WriteRestricted. Le gain de sécurité est donc négligeable comparé aux risques d’oublier un proxy futur.

Bonnes pratiques long terme

Laisser la valeur par défaut

Dans un environnement en constante évolution – fusion-acquisition, migrations cloud – il est plus sûr de laisser le service en démarrage déclenché. Aucun coût CPU, mais une assurance contre les déroutements réseau ultérieurs.

Gouverner WinHTTP par GPO

Activez la stratégie « Spécifier les paramètres du serveur proxy pour WinHTTP » (chemin : Configuration ordinateur → Modèles d’administration → Network → Network Connections → WinHTTP Settings). Vous pourrez :

Forcer un proxy fixe (proxy.contoso.com:8080)
Ou exiger la détection automatique (« Automatically detect settings »)
Ou combiner proxy fixe et liste bypass (*.windowsupdate.com;*.microsoft.com)

L’avantage : la configuration devient prévisible et auditée. Vous limitez le besoin d’arrêter ou de relancer des services.

Désactivation conditionnelle avec DSC

Azure Automation DSC ou PowerShell 7 DesiredStateConfiguration vous permettent de cibler uniquement les serveurs dont le paramètre HasProxy est $false. Le service reste actif pour les autres. Exemple de ressource DSC simplifiée :

Service WinHTTPAutoProxySvc
{
    Name   = 'WinHTTPAutoProxySvc'
    StartupType = if ($Node.HasProxy) { 'Manual' } else { 'Disabled' }
    State  = if ($Node.HasProxy) { 'Stopped' } else { 'Stopped' }
}

FAQ – Questions fréquemment posées

Q : Sur un contrôleur de domaine, la réplication AD ou le service DNS dépendent‑ils du proxy ?

Non. Les ports RPC (135, 49152‑65535) et LDAP (389/636) sont internes au domaine. Ils n’utilisent pas WinHTTP.
Q : Si je bloque wpad.domain.tld dans le DNS interne, est‑ce suffisant ?

Oui, cela empêche la découverte WPAD, mais n’empêche pas un futur administrateur d’ajouter un enregistrement DNS valide. La désactivation du service assure qu’aucun code ne tentera la découverte même si le record réapparaît.
Q : Quels IDs d’événements Windows consignent les erreurs WPAD ?

307 (source WAS / CAPI2) – échec de téléchargement de liste CRL, souvent lié à un proxy manquant.
47 – 51 (source WinHTTP‑AutoProxy‑Svc‑Events) – détails du timeout ou de la PAC.

Checklist de validation après désactivation

Étape	Commande ou vérification	Résultat attendu
Désactivation effective	`sc qc WinHTTPAutoProxySvc`	`START_TYPE : 4 DISABLED`
Scan Windows Update	`UsoClient StartScan`	Aucun code erreur (`0x00000000`)
Téléchargement de définition Defender	`MpCmdRun.exe -SignatureUpdate`	Signature à jour
Flux MDI / AAD	Surveillance dans Azure Portal → Sign‑in logs	Pas de pic d’échecs réseau
Audit Sécurité	Scan Nessus/Qualys	Surface d’attaque inchangée

Conclusion

Désactiver WinHTTPAutoProxySvc sur un contrôleur de domaine Windows Server 2022 ne compromet pas Windows Update, Microsoft Defender ou vos rôles AD DS, dès lors que :

Il n’existe aucun proxy à détecter ;
Le pare‑feu autorise directement HTTPS 443 vers les hôtes Microsoft ;
Vous testez les téléchargements de mise à jour et de signatures avant la mise en production.

Cependant, laisser le service en mode « Manuel (démarrage déclenché) » reste la meilleure assurance tout risque : zéro coût, mais prêt en cas de changement réseau. Choisissez la désactivation seulement si votre politique de hardening l’exige et que vous documentez l’opération dans vos standards.

Article rédigé et testé sur Windows Server 2022 Datacenter 21H2 (build 20348.2602) – Dernière révision : août 2025.