O Windows Sandbox permite abrir um programa ou arquivo em um desktop temporário, separado da instalação principal do Windows. Ele é útil para testar instaladores, verificar anexos e experimentar ferramentas sem deixar arquivos e configurações permanentes no computador.
O caminho abaixo funciona no Windows 11 Pro, Enterprise e Education. O recurso não está disponível no Windows Home e exige virtualização ativada no firmware do computador. Ao fechar a janela, o conteúdo da sessão é apagado.
O que é o Windows Sandbox?
É um ambiente de desktop descartável que usa virtualização baseada no hypervisor da Microsoft. Em termos simples, o Windows cria uma pequena instalação isolada para você abrir um arquivo ou instalar um aplicativo sem misturar tudo com o sistema principal.
A separação reduz o impacto de alterações feitas dentro do Sandbox, mas não transforma o computador em uma fortaleza. A Microsoft informa que a rede fica habilitada por padrão e alerta que aplicativos não confiáveis podem alcançar a rede interna. Por isso, a configuração padrão não é a melhor escolha para qualquer arquivo suspeito.
Cada inicialização começa limpa. Programas instalados, arquivos baixados e mudanças feitas na sessão são descartados quando você fecha o Sandbox. A partir do Windows 11 22H2, uma reinicialização feita dentro da própria sessão pode preservar dados até o fechamento; isso não significa que o conteúdo sobreviva depois que a janela for encerrada.
Requisitos para usar o Sandbox no Windows 11
- Windows 11 Pro, Enterprise ou Education;
- processador AMD64 ou Arm64 compatível;
- virtualização habilitada na BIOS ou UEFI;
- pelo menos 4 GB de memória RAM — 8 GB é o recomendado pela Microsoft;
- ao menos 1 GB livre no armazenamento, de preferência em SSD;
- dois núcleos de CPU ou mais.
Se a opção não aparecer na lista de recursos do Windows, confira primeiro a edição instalada e a virtualização do processador. Em uma máquina virtual, também é necessário habilitar virtualização aninhada.
Como ativar o Windows Sandbox
Pelo painel de Recursos do Windows
- Abra a busca do Windows e digite Ativar ou desativar recursos do Windows.
- Abra o resultado com esse nome.
- Marque Windows Sandbox e clique em OK.
- Aguarde a instalação e reinicie o computador se o Windows pedir.
- Depois, pesquise por Windows Sandbox no menu Iniciar.
Com PowerShell
Também é possível ativar o recurso pelo PowerShell aberto como administrador:
Enable-WindowsOptionalFeature -FeatureName "Containers-DisposableClientVM" -All -OnlineReinicie o computador ao terminar e abra o Sandbox pelo menu Iniciar. O comando vem da documentação da Microsoft; não é necessário baixar uma imagem ISO ou um programa separado.
Como abrir um arquivo no Windows Sandbox
Para um teste simples, abra o Windows Sandbox, localize o arquivo no computador principal e copie-o para a janela do ambiente isolado. Dentro do Sandbox, abra o arquivo e observe o comportamento. Se for um instalador, lembre que ele será apagado junto com a sessão.
Esse procedimento usa duas integrações que vêm ligadas por padrão: rede e área de transferência. É prático, mas menos restritivo. Não faça login em e-mail, banco, redes sociais ou contas de trabalho dentro do ambiente e não forneça permissões administrativas sem entender o que o programa está pedindo.
Depois da análise, feche a janela e confirme a exclusão do conteúdo. Se o arquivo pedir para desativar o antivírus, executar comandos obscuros ou instalar extensões inesperadas, trate isso como sinal de alerta — o Sandbox ajuda a observar o comportamento, mas não decide sozinho se o arquivo é seguro.
Como deixar o Sandbox mais seguro
O recurso aceita arquivos de configuração com a extensão .wsb. Eles usam XML e permitem desligar a rede, impedir o compartilhamento da área de transferência e controlar pastas mapeadas.
Para criar uma sessão mais restritiva, abra o Bloco de Notas, cole o conteúdo abaixo e salve como analise-segura.wsb. Na janela de salvamento, escolha Todos os arquivos para não criar um arquivo terminado em .wsb.txt:
<Configuration>
<Networking>Disable</Networking>
<ClipboardRedirection>Disable</ClipboardRedirection>
</Configuration>Dê dois cliques no arquivo para iniciar o Sandbox sem rede e sem copiar e colar entre os ambientes. Essa é a opção mais prudente quando o arquivo não precisa acessar a internet.
Se você precisar levar um arquivo para dentro dessa sessão, existe a possibilidade de mapear uma pasta como somente leitura. Ainda assim, a Microsoft alerta que pastas mapeadas podem permitir que um aplicativo malicioso leia dados do computador ou tente afetar o sistema. Não mapeie a Área de Trabalho, Documentos, discos inteiros ou pastas com informações pessoais.
<Configuration>
<Networking>Disable</Networking>
<ClipboardRedirection>Disable</ClipboardRedirection>
<MappedFolders>
<MappedFolder>
<HostFolder>C:\Analise</HostFolder>
<SandboxFolder>C:\Users\WDAGUtilityAccount\Desktop\Analise</SandboxFolder>
<ReadOnly>true</ReadOnly>
</MappedFolder>
</MappedFolders>
</Configuration>Use essa alternativa apenas com uma pasta criada para a análise e que não contenha outros arquivos. Mesmo como somente leitura, o mapeamento aumenta a superfície de risco em comparação com uma sessão sem pastas compartilhadas.
O que o Windows Sandbox não protege
- Não é um antivírus: ele não gera um veredito automático sobre o arquivo.
- Não elimina todo risco: falhas do sistema, do hypervisor ou da configuração podem ter consequências.
- Não deve receber dados pessoais: evite contas, senhas, tokens e documentos de trabalho.
- Não é ideal para testes persistentes: a sessão foi feita para ser descartada, não para substituir uma máquina virtual completa.
Para analisar malware de forma profissional, use uma rede isolada, imagens controladas, máquinas dedicadas e procedimentos de resposta a incidentes. Para o uso doméstico — por exemplo, conferir um instalador baixado de uma fonte duvidosa — o Sandbox é uma camada prática, desde que você reduza as integrações e mantenha o Windows atualizado.
Windows Sandbox vale a pena?
Sim, para quem tem uma edição compatível do Windows 11 e precisa de um ambiente temporário para testar aplicativos ou abrir arquivos com menos exposição ao sistema principal. A instalação é simples e não exige manter uma máquina virtual completa.
Ele não vale como desculpa para clicar em qualquer anexo. A rede habilitada por padrão, a área de transferência e as pastas compartilhadas podem reabrir justamente os caminhos que você queria bloquear. O melhor uso é combinar uma sessão descartável com cautela: desligue a rede quando ela não for necessária, não mapeie dados pessoais e descarte a sessão ao terminar.
Perguntas frequentes
O Windows Sandbox funciona no Windows 11 Home?
Não. A documentação da Microsoft lista Pro, Enterprise e Education como edições compatíveis. O Windows 11 Home não oferece o recurso oficialmente.
O que acontece quando eu fecho o Windows Sandbox?
O conteúdo da sessão é apagado: aplicativos instalados, arquivos baixados e alterações feitas dentro do ambiente não ficam disponíveis na próxima inicialização.
A rede do Windows Sandbox vem ativada?
Sim. A configuração padrão habilita a rede, mas um arquivo .wsb pode desativá-la. Para abrir um arquivo suspeito, prefira não dar acesso à internet sem uma razão clara.
Posso usar o Sandbox como máquina virtual principal?
Não é o objetivo. Ele é temporário e descartável. Para guardar projetos, snapshots e configurações por mais tempo, uma máquina virtual tradicional é mais adequada.
Se você também usa o celular em tarefas do Windows, veja o guia do JSMS sobre como transformar um Android em webcam no Windows 11.