Windows Sandbox : comment l'activer et la configurer sur Windows 11

Windows Sandbox est une copie propre et éphémère de Windows qui s’ouvre dans une fenêtre : vous pouvez y tester un programme dont vous n’êtes pas sûr, et dès que vous la fermez, tout disparaît. Elle est déjà incluse dans Windows 11 Pro, Enterprise et Education ; il suffit de l’activer. Elle n’est pas disponible sur Windows 11 Famille.

Contrairement à une machine virtuelle, vous n’avez ni image Windows à télécharger, ni rien à installer : elle utilise les fichiers système que vous possédez déjà, démarre en quelques secondes et n’occupe pas d’espace sur votre disque. En revanche, elle ne conserve rien d’un démarrage à l’autre, ce qui est précisément son objectif.

Quand l’utiliser #

Tester un programme téléchargé sur un site peu fiable, sans risquer de remplir votre PC de composants indésirables.
Ouvrir une pièce jointe suspecte reçue par e-mail, pour comprendre ce qu’elle contient sans l’exécuter sur votre véritable ordinateur.
Vérifier une installation avant de la lancer réellement : ce qu’elle ajoute, ce qu’elle demande, quels fichiers elle crée.
Visiter un site en lequel vous n’avez pas confiance avec un navigateur isolé du reste de votre système.

Pour l’usage quotidien en revanche, elle n’est pas nécessaire : elle ne sauvegarde rien, donc à chaque redémarrage, vous repartez de zéro.

Configuration requise #

Windows 11 Pro, Enterprise ou Education (les versions Pro Education et SE conviennent également). La version Famille ne l’inclut pas.
Un processeur 64 bits avec la virtualisation activée dans le BIOS ou l’UEFI.
Au moins 4 Go de RAM (8 Go recommandés) et quelques gigaoctets d’espace libre sur le disque.

Comment vérifier si la virtualisation est activée

Ouvrez le Gestionnaire des tâches avec Ctrl + Maj + Echap, allez dans l’onglet Performance → Processeur (CPU) et regardez la ligne Virtualisation : elle doit indiquer « Activée ». Alternativement, ouvrez le Terminal et lancez systeminfo : tout en bas, sous les informations sur Hyper-V, Virtualisation activée dans le firmware doit être indiquée comme Oui.

Si elle est désactivée, vous pouvez l’activer depuis le BIOS ou l’UEFI. Selon le fabricant, l’option peut s’appeler Intel VT-x, AMD-V, SVM Mode ou Virtualization Technology.

Activer Windows Sandbox #

Dans le menu Démarrer, recherchez Activer ou désactiver des fonctionnalités Windows (ou tapez optionalfeatures dans la commande Exécuter) et ouvrez l’outil.
Faites défiler la liste jusqu’à Bac à sable Windows et cochez la case.
Cliquez sur OK et attendez que Windows installe les composants.
Redémarrez l’ordinateur si le système vous le demande.

Après le redémarrage, vous trouverez Windows Sandbox dans le menu Démarrer. Une fenêtre s’ouvre avec un bureau vierge : vous pouvez y copier-coller des fichiers depuis votre ordinateur, naviguer sur le web, installer et tester des logiciels. Lorsque vous la fermez, tout est supprimé, et le message de confirmation sert justement à vous en avertir. En revanche, si vous redémarrez Windows à l’intérieur du bac à sable (ce qui arrive avec certains programmes lors de l’installation), le contenu est conservé depuis Windows 11 22H2.

Fenêtre de Windows Sandbox avec un bureau vierge de Windows 11 et le menu des paramètres ouvert — À l’intérieur de la fenêtre se trouve un Windows fraîchement installé, sans vos données ni vos programmes

Dans les versions récentes de Windows 11, le menu avec les trois points en haut de la fenêtre permet de modifier certaines paramètres à la volée, sans fichier de configuration : partager un dossier de l’ordinateur (Partager un dossier), activer ou désactiver le presse-papiers partagé, le micro et la webcam.

Le réseau est activé par défaut. Un programme malveillant exécuté dans le bac à sable peut donc atteindre les autres appareils de votre réseau domestique ou professionnel. Si vous testez quelque chose en lequel vous n’avez pas une confiance totale, désactivez le réseau via le fichier de configuration présenté ci-dessous.

La configurer avec un fichier .wsb #

Le comportement du bac à sable se définit via un petit fichier XML avec l’extension .wsb : double-cliquez dessus et le bac à sable démarre déjà configuré. Vous pouvez le créer avec le Bloc-notes, en l’enregistrant avec l’extension .wsb au lieu de .txt (dans Enregistrer sous, choisissez Tous les fichiers).

Voici un exemple prêt à l’emploi pour analyser un fichier suspect : réseau coupé, un dossier de l’ordinateur partagé en lecture seule et 4 Go de mémoire.

<Configuration>
  <Networking>Disable</Networking>
  <MemoryInMB>4096</MemoryInMB>
  <vGPU>Disable</vGPU>
  <MappedFolders>
    <MappedFolder>
      <HostFolder>C:\Users\NomeUtente\Desktop\DaAnalizzare</HostFolder>
      <SandboxFolder>C:\Users\WDAGUtilityAccount\Desktop\DaAnalizzare</SandboxFolder>
      <ReadOnly>true</ReadOnly>
    </MappedFolder>
  </MappedFolders>
</Configuration>

Remplacez NomeUtente par votre nom d’utilisateur et vérifiez que le dossier indiqué en HostFolder existe, sinon le bac à sable ne démarrera pas.

Le second exemple sert à tester l’installation d’un programme : réseau activé, dossier partagé en lecture/écriture et une commande qui s’exécute au démarrage.

<Configuration>
  <Networking>Default</Networking>
  <MappedFolders>
    <MappedFolder>
      <HostFolder>C:\Users\NomeUtente\Downloads\Prove</HostFolder>
      <ReadOnly>false</ReadOnly>
    </MappedFolder>
  </MappedFolders>
  <LogonCommand>
    <Command>explorer.exe C:\Users\WDAGUtilityAccount\Desktop\Prove</Command>
  </LogonCommand>
</Configuration>

Options disponibles #

Élément	Utilité
`Networking`	`Disable` désactive le réseau, `Default` le laisse actif
`MappedFolders`	Dossiers de l’ordinateur visibles dans le bac à sable
`ReadOnly`	Avec `true` le bac à sable ne peut pas modifier les fichiers partagés
`MemoryInMB`	Mémoire allouée, en mégaoctets
`vGPU`	Accélération graphique : la désactiver réduit la surface d’attaque
`ClipboardRedirection`	`Disable` empêche le copier-coller entre le bac à sable et l’ordinateur
`LogonCommand`	Une commande à exécuter au démarrage

Pour les fichiers suspects, utilisez toujours ReadOnly sur true. Un dossier partagé en écriture est une porte de sortie pour un programme qui chiffrerait ou supprimerait des fichiers. En lecture seule, le dommage reste confiné dans le bac à sable.

Vous pouvez conserver plusieurs fichiers .wsb avec des configurations différentes (par exemple un pour l’analyse et un pour les tests d’installation) et lancer celui dont vous avez besoin d’un simple double-clic.

Fichier de configuration .wsb de Windows Sandbox ouvert dans le Bloc-notes avec les paramètres de la sandbox — Un fichier par scénario : un double-clic et la sandbox démarre déjà configurée

À partir de Windows 11 24H2, il existe également une commande en ligne de commande, wsb, utile pour automatiser les tests : wsb start --config lance la sandbox avec un fichier de configuration, wsb exec exécute une commande à l’intérieur, wsb share partage un dossier et wsb stop la ferme.

Limites à connaître #

Elle ne conserve rien. Si vous installez un programme et que vous fermez la fenêtre, il n’est plus là lors de la réouverture. C’est intentionnel, mais gardez-le à l’esprit avant de passer une heure à configurer quelque chose.

Une seule sandbox à la fois. Vous ne pouvez pas en ouvrir deux simultanément.

Elle ne remplace pas une machine virtuelle. Pour tester d’autres systèmes d’exploitation, conserver un état dans le temps ou simuler un réseau d’ordinateurs, vous aurez besoin de véritables logiciels de virtualisation.

Ce n’est pas une garantie absolue. L’isolation est solide car elle repose sur l’hyperviseur, mais aucune barrière n’est parfaite ; avec le réseau activé et des dossiers partagés en écriture, vous réduisez une partie de la protection.

Foire aux questions #

Windows Sandbox ralentit-il l’ordinateur ? #

Uniquement lorsqu’elle est ouverte, et proportionnellement à la mémoire que vous lui allouez. Lorsqu’elle est fermée, elle ne consomme rien car aucun processus n’est actif. Sur un PC avec 8 Go de RAM, limitez-la à 2 ou 4 Go avec l’option MemoryInMB.

Puis-je récupérer un fichier enregistré dans la sandbox ? #

Non, lorsque vous fermez la fenêtre, le contenu est perdu définitivement. Pour conserver quelque chose, utilisez un dossier partagé en écriture ou copiez le fichier sur votre ordinateur avant de fermer.

Pourquoi je ne trouve pas « Windows Sandbox » dans les fonctionnalités ? #

Soit vous utilisez Windows 11 Famille, qui ne l’inclut pas, soit la virtualisation est désactivée dans le BIOS. Dans le premier cas, les solutions sont de passer à Windows 11 Pro ou d’utiliser un logiciel de virtualisation gratuit comme VirtualBox ; dans le second, il suffit d’activer la virtualisation dans le firmware.

Fenêtre des fonctionnalités facultatives de Windows avec la case « Windows Sandbox » cochée — Si l’élément n’apparaît pas dans cette liste, votre édition de Windows ne le prend pas en charge

La sandbox protège-t-elle contre les ransomwares ? #

Elle aide, mais cela dépend de la façon dont vous la configurez. Un fichier malveillant ouvert dans la sandbox n’affecte pas le système principal, mais il peut atteindre les dossiers partagés en écriture et, si le réseau est activé, les autres appareils. Avec le réseau désactivé et les dossiers en lecture seule l’isolation est beaucoup plus robuste.

Quelle est la différence avec une machine virtuelle ? #

Une machine virtuelle conserve son état, vous permet d’installer différents systèmes d’exploitation et se configure dans les moindres détails, mais elle occupe de l’espace, doit être installée et met quelques minutes à démarrer. La sandbox démarre en quelques secondes, n’occupe pas d’espace et se réinitialise à chaque fois : elle est conçue pour des tests rapides, pas pour un usage de travail stable.