O Windows Sandbox é a forma mais simples de abrir um instalador, documento ou site suspeito sem misturá-lo ao seu Windows principal. Ele cria uma área de trabalho temporária e isolada por virtualização. Quando você fecha a janela, os programas, arquivos e alterações feitos ali são apagados.
Isso não transforma o Sandbox em um escudo mágico contra malware. A rede fica ligada por padrão, a área de transferência também pode compartilhar conteúdo com o computador principal e pastas mapeadas podem expor seus arquivos. Por isso, o jeito certo de usar a ferramenta é reduzir essas pontes antes de testar algo que você não conhece.
O que é o Windows Sandbox e quando ele vale a pena
O Windows Sandbox é um ambiente de desktop descartável incluído em determinadas edições do Windows 10 e do Windows 11. Ele usa o hypervisor da Microsoft para executar um kernel separado do sistema hospedeiro, mas reaproveita arquivos do Windows em modo somente leitura para ser mais leve que uma máquina virtual tradicional.
Na prática, você pode abrir o Sandbox, instalar um aplicativo, visitar um endereço desconhecido ou examinar um anexo e depois encerrar a sessão. O que foi instalado dentro dele não continua disponível na próxima abertura. A Microsoft também informa que, desde o Windows 11 22H2, dados persistem durante reinicializações iniciadas dentro da própria sessão; isso não muda a regra principal: fechar o Sandbox apaga seu estado.
Ele é útil para:
- testar instaladores baixados de uma fonte que você ainda não conhece;
- abrir um arquivo recebido por e-mail sem colocá-lo diretamente no perfil principal;
- conferir uma extensão, ferramenta ou versão de demonstração;
- separar ambientes de desenvolvimento rápidos, como uma instalação limpa para experimentar dependências;
- navegar em um site desconhecido com uma sessão descartável.
Para trabalho contínuo, arquivos importantes, snapshots ou um sistema operacional diferente do host, uma máquina virtual completa pode ser mais adequada. O Sandbox não permite manter várias instâncias abertas ao mesmo tempo e não foi feito para guardar seu ambiente de trabalho.
Requisitos para instalar o Windows Sandbox
Segundo a documentação da Microsoft consultada em 21 de agosto de 2026, o computador precisa atender a estes requisitos:
- Windows 10 versão 1903 ou posterior, ou Windows 11;
- edição Pro, Enterprise, Pro Education/SE ou Education. O Windows Home não é compatível;
- arquitetura AMD64 ou Arm64, no caso do Windows 11 22H2 ou posterior;
- virtualização de hardware ativada no BIOS ou UEFI;
- pelo menos 4 GB de RAM, embora 8 GB seja o recomendado;
- ao menos 1 GB de espaço livre, de preferência em SSD;
- dois núcleos de processador, com quatro núcleos e hyper-threading como recomendação.
Se o Windows estiver rodando dentro de outra máquina virtual, você também precisará habilitar a virtualização aninhada. Em um PC comum, o item costuma aparecer no firmware como Intel VT-x, Intel Virtualization Technology, AMD-V ou SVM Mode. O nome varia conforme a placa-mãe.
Como ativar o Windows Sandbox
Pelo painel de Recursos do Windows
- Abra a busca do Windows e digite Ativar ou desativar recursos do Windows.
- Abra o resultado correspondente.
- Marque Windows Sandbox na lista.
- Clique em OK e aguarde a instalação dos componentes.
- Reinicie o computador se o sistema solicitar.
- Depois da reinicialização, procure Windows Sandbox no menu Iniciar.
Pelo PowerShell
Também é possível abrir o PowerShell como administrador e executar o comando oficial abaixo:
Enable-WindowsOptionalFeature -FeatureName "Containers-DisposableClientVM" -All -OnlineO comando ativa o recurso na instalação atual do Windows. Se a opção não aparecer na lista ou o comando falhar, confira primeiro a edição do Windows e a virtualização no BIOS/UEFI. Em um computador com Windows Home, não há um ajuste escondido que transforme a edição em compatível.
Como abrir um arquivo suspeito com menos risco
O procedimento mais seguro não é simplesmente arrastar qualquer coisa para a janela. Prepare o ambiente para que o arquivo tenha o mínimo possível de acesso ao computador principal:
- Confirme que você não precisa de arquivos pessoais dentro da sessão.
- Abra o Windows Sandbox pelo menu Iniciar.
- Baixe o instalador ou documento dentro do próprio Sandbox sempre que possível.
- Se precisar transferir um arquivo, copie apenas uma pasta temporária e não seu perfil de documentos inteiro.
- Execute o arquivo e observe o comportamento, como janelas inesperadas, tentativas de criar tarefas ou pedidos de privilégio.
- Feche o Sandbox quando terminar e confirme que as alterações não apareceram no Windows principal.
Para um anexo de e-mail, por exemplo, o ideal é salvar uma cópia em uma pasta de teste sem documentos pessoais. Não faça login em serviços importantes dentro do ambiente e não digite senhas reais só porque a janela parece separada.
Como desativar rede, copiar arquivos e controlar o ambiente
Por padrão, o Sandbox inicia com rede habilitada, clipboard compartilhado e alguns recursos de integração. Isso é confortável, mas aumenta a superfície de ataque: um programa malicioso pode tentar acessar a rede ou receber algo que você copiou fora da sessão.
Você pode criar um arquivo de configuração com a extensão .wsb. Abra o Bloco de Notas, cole este exemplo e salve como teste-offline.wsb — coloque o nome entre aspas na janela Salvar para evitar que o Windows acrescente .txt:
<Configuration>
<Networking>Disable</Networking>
<ClipboardRedirection>Disable</ClipboardRedirection>
<MappedFolders>
<MappedFolder>
<HostFolder>C:\Temp\ArquivoParaTestar</HostFolder>
<SandboxFolder>C:\Users\WDAGUtilityAccount\Desktop\ArquivoParaTestar</SandboxFolder>
<ReadOnly>true</ReadOnly>
</MappedFolder>
</MappedFolders>
</Configuration>Troque C:\Temp\ArquivoParaTestar por uma pasta que exista no host. Depois, clique duas vezes no arquivo .wsb para abrir uma sessão com rede e clipboard desativados e a pasta compartilhada em modo somente leitura.
Atenção: uma pasta mapeada com permissão de escrita continua existindo no computador principal depois que o Sandbox é fechado. Mesmo no modo somente leitura, evite apontar para a Área de Trabalho, Downloads ou documentos de trabalho. Compartilhe uma cópia descartável.
O que o Windows Sandbox não protege
O isolamento reduz o impacto de um teste, mas não substitui atualização, backup, antivírus ou análise de segurança. A própria Microsoft alerta que habilitar a rede pode expor aplicativos não confiáveis à rede interna. Para um arquivo realmente suspeito, prefira o modo offline e use uma cópia sem dados pessoais.
- Não é um antivírus: ele não classifica automaticamente o arquivo como seguro ou malicioso.
- Não é uma garantia contra qualquer ameaça: vulnerabilidades no Windows, no hypervisor ou em drivers podem existir.
- Não protege o que você compartilhar: pastas, clipboard, microfone e rede criam caminhos de comunicação com o host.
- Não preserva a sessão ao fechar: guarde apenas resultados que você tenha verificado e queira manter.
- Não serve para abrir credenciais sem cuidado: uma página de phishing continua capaz de enganar uma pessoa dentro de uma janela isolada.
Se o objetivo for proteger contas, use também medidas próprias para elas. Por exemplo, o JSMS já explicou como criar uma chave de acesso na conta Google; o Sandbox não substitui autenticação forte nem cuidado com links.
Como confirmar que o teste terminou corretamente
Antes de fechar, anote o que você precisava observar: o programa abriu, criou arquivos, pediu conexão ou exibiu uma mensagem de erro? Se precisar guardar um relatório, copie somente o texto ou arquivo de resultado para fora da sessão depois de verificar que não contém dados sensíveis.
Feche a janela e confirme a exclusão quando o Windows perguntar. Em seguida, verifique no host se a pasta original não foi modificada. Se você usou uma pasta mapeada com escrita, compare os arquivos antes e depois. Se o aplicativo instalou um serviço ou alterou configurações fora do ambiente, interrompa o uso do computador e faça uma verificação de segurança — o Sandbox não deveria ser tratado como licença para executar malware sem critério.
Erros comuns e como corrigir
Windows Sandbox não aparece
Confira se a edição é Pro, Enterprise, Pro Education/SE ou Education e se a virtualização está ativada no BIOS/UEFI. O Windows Home não oferece o recurso.
A sessão não inicia
Verifique RAM, espaço livre e o suporte à virtualização. Em uma máquina virtual, habilite nested virtualization no hypervisor. Também confirme se o arquivo .wsb tem XML válido e se todas as pastas informadas existem.
O arquivo não abre sem internet
Isso pode ser esperado quando você desativa Networking. Nesse caso, transfira uma cópia local para uma pasta mapeada somente para leitura ou faça o teste conectado apenas quando a rede for necessária e o risco estiver claro.
O aplicativo parece diferente
O Sandbox começa com uma instalação limpa e não herda automaticamente programas do host. Instale dentro dele o que for necessário. No Windows 11 24H2, aplicativos que vêm com o sistema, como Calculadora, Fotos, Bloco de Notas e Terminal, podem não estar disponíveis dentro do Sandbox, segundo a documentação atual da Microsoft.
Perguntas frequentes
O Windows Sandbox funciona no Windows Home?
Não. A Microsoft lista as edições Pro, Enterprise, Pro Education/SE e Education como compatíveis. O Windows Home não oferece o recurso oficialmente.
O que acontece quando eu fecho o Windows Sandbox?
O sistema apaga os programas, arquivos e alterações da sessão. Uma pasta compartilhada com permissão de escrita é uma exceção importante: alterações feitas nela ficam no computador principal.
Posso usar o Sandbox com a internet desligada?
Sim. Crie um arquivo .wsb com <Networking>Disable</Networking>. Isso reduz a exposição à rede, mas você ainda precisa tomar cuidado com arquivos compartilhados e com o que copiar para dentro da sessão.
Windows Sandbox é igual a uma máquina virtual?
Ele usa virtualização, mas é um ambiente descartável e mais simples que uma máquina virtual completa. O Sandbox não foi feito para manter snapshots, várias instâncias ou um sistema persistente.