Récapitulatif
- Windows Sandbox (le « Bac à sable Windows ») ouvre un second Windows, vierge, dans une fenêtre. Tout ce que vous y faites est effacé à la fermeture.
- Il est réservé aux éditions Pro, Entreprise et Éducation de Windows 10 et 11. Sur Windows Famille, l’option n’existe pas.
- Il demande la virtualisation activée dans le BIOS, 4 Go de mémoire au minimum (8 conseillés) et deux cœurs de processeur.
- On l’active dans « Activer ou désactiver des fonctionnalités Windows », case « Bac à sable Windows », puis on redémarre.
- Le réseau et le presse-papiers sont ouverts par défaut. Pour ouvrir un fichier douteux, un petit fichier .wsb permet de couper Internet.
- S’il refuse de démarrer, le message d’erreur dit presque toujours où chercher : hyperviseur absent, fonctionnalité décochée, fichier .wsb mal écrit, ou un second bac à sable déjà ouvert.
Windows Sandbox est un Windows jetable, intégré à Windows 10 et 11 dans leurs éditions Pro, Entreprise et Éducation : on l’active dans « Activer ou désactiver des fonctionnalités Windows », case « Bac à sable Windows », puis on redémarre. Il s’ouvre ensuite en quelques secondes dans une fenêtre, part toujours d’une installation propre, et tout ce qui s’y passe disparaît quand on le ferme : logiciels installés, fichiers téléchargés, réglages modifiés.
C’est l’outil idéal pour essayer un logiciel dont on n’est pas sûr, ouvrir une pièce jointe suspecte ou tester un réglage sans toucher à son vrai PC. Pourtant, les pages qui en parlent en français se partagent entre des présentations de 500 mots écrites à sa sortie, en 2019, et des guides de configuration pour administrateurs réseau. Peu expliquent ce qu’il faut savoir avant de s’en servir comme filet de sécurité.
Je vous montre ici comment vérifier que votre PC peut le lancer, comment l’activer, comment l’utiliser pour tester un programme, et surtout les deux réglages par défaut qui réduisent son isolation. Je donne aussi un fichier de configuration prêt à copier pour ouvrir un bac à sable coupé d’Internet.
Sommaire
- 1. Windows Sandbox, c’est quoi exactement ?
- 2. Les conditions pour l’utiliser
- 3. Activer Windows Sandbox sur Windows 11 ou 10
- 4. Tester un logiciel ou un fichier douteux
- 5. Les deux réglages par défaut à connaître
- 6. Un bac à sable sans Internet avec un fichier .wsb
- 7. Ce que le bac à sable ne fait pas
- 8. Quand Windows Sandbox ne démarre pas
- 9. Sur Windows Famille : quelles solutions ?
- Les questions qu’on me pose le plus
Windows Sandbox, c’est quoi exactement ?
Windows Sandbox, appelé « Bac à sable Windows » dans la version française du système, est une petite machine virtuelle que Windows fabrique à la demande. Microsoft le décrit comme un environnement de bureau léger et isolé : les programmes lancés à l’intérieur tournent séparés du PC réel grâce à la virtualisation matérielle, la même technique que celle des machines virtuelles classiques.
La différence avec une machine virtuelle classique, comme celles qu’on crée avec Hyper-V, c’est qu’il n’y a rien à installer ni à préparer. Le bac à sable réutilise les fichiers de votre propre Windows en lecture seule, il démarre donc avec la même version que le système hôte, et il ajuste sa mémoire selon les besoins au lieu de la réserver d’avance. En contrepartie, il ne garde rien : à la fermeture, tout est jeté, et le lancement suivant repart d’un Windows neuf.
Concrètement, vous voyez s’ouvrir une fenêtre qui contient un bureau Windows complet, avec son menu Démarrer, l’Explorateur et le navigateur Edge. Ce n’est pas votre session : vos fichiers, vos logiciels et vos comptes n’y sont pas.
Les conditions pour l’utiliser
Microsoft liste cinq conditions. Si une seule manque, la case du bac à sable n’apparaît pas, ou reste grisée :
- Une édition Pro, Entreprise ou Éducation de Windows 11, ou de Windows 10 à partir de la version 1903. Windows Famille n’y a pas droit.
- Un processeur 64 bits (AMD64), ou ARM64 à partir de Windows 11 version 22H2.
- La virtualisation activée dans le BIOS (Intel VT-x ou AMD-V selon le processeur).
- 4 Go de mémoire vive au minimum, 8 Go recommandés, et deux cœurs de processeur (quatre avec hyper-threading recommandés).
- 1 Go d’espace libre, de préférence sur un SSD.
Deux vérifications suffisent avant de chercher plus loin. Pour l’édition, ouvrez Paramètres, puis Système et Informations système : la ligne « Édition » dit si vous êtes en Famille ou en Pro (j’explique toutes les façons de connaître sa version de Windows dans un guide dédié). Pour la virtualisation, ouvrez le Gestionnaire des tâches avec Ctrl + Maj + Échap, onglet Performances, puis Processeur : en bas à droite, la ligne « Virtualisation » doit indiquer « Activé ».
Si elle indique « Désactivé », le réglage se trouve dans le BIOS ou l’UEFI du PC, sous un nom qui change selon le fabricant (Intel Virtualization Technology, SVM Mode, VT-x). Mon article pour accéder au BIOS donne la touche à presser selon la marque de votre ordinateur.
Un piège m’est apparu en vérifiant mon propre PC. Quand un hyperviseur tourne déjà, Windows ne montre plus les prérequis au même endroit. Sur mon PC sous Windows 11 24H2, où WSL 2 fait tourner l’hyperviseur de Microsoft, la commande systeminfo répond « Un hyperviseur a été détecté. Les fonctionnalités nécessaires à Hyper-V ne seront pas affichées. », et la propriété VirtualizationFirmwareEnabled, que certains guides font lire dans PowerShell, revient à False. Ce False ne veut pas dire que la virtualisation est coupée dans le BIOS : Microsoft exige justement qu’elle soit active pour qu’un hyperviseur démarre. Si WSL 2, Hyper-V ou l’isolation du noyau sont en service, inutile d’aller fouiller l’UEFI.
Activer Windows Sandbox sur Windows 11 ou 10
Le bac à sable est livré avec Windows mais désactivé. On l’allume depuis la liste des fonctionnalités facultatives :
- Tapez « fonctionnalités Windows » dans la recherche du menu Démarrer et ouvrez « Activer ou désactiver des fonctionnalités Windows ».
- Descendez jusqu’à « Bac à sable Windows » et cochez la case.
- Validez avec OK, laissez Windows installer les composants, puis redémarrez le PC quand il le demande.
- Au retour, cherchez « Windows Sandbox » dans le menu Démarrer et lancez-le.
La même activation se fait en une ligne, dans un PowerShell ouvert en administrateur :
Enable-WindowsOptionalFeature -FeatureName "Containers-DisposableClientVM" -All -OnlineSur Windows 11 version 24H2, le premier lancement peut afficher une barre de progression : depuis cette version, l’application se met à jour par le Microsoft Store, et Microsoft indique que l’opération prend en général de 30 secondes à 2 minutes. La nouvelle version ajoute un menu « … » en haut à droite de la fenêtre pour régler le presse-papiers, le micro, la webcam et le partage de dossiers pendant la session.
Tester un logiciel ou un fichier douteux
L’usage le plus utile pour un particulier, c’est d’essayer un programme avant de l’installer pour de bon. Un utilitaire gratuit trouvé sur un forum, un installeur qui risque d’ajouter des barres d’outils, un fichier reçu par mail dont on doute : tout passe d’abord par le bac à sable.
- Lancez Windows Sandbox et attendez que son bureau s’affiche.
- Faites entrer le fichier : copiez-le sur votre PC (Ctrl + C) puis collez-le sur le bureau du bac à sable (Ctrl + V). Vous pouvez aussi le télécharger directement avec Edge, à l’intérieur.
- Installez ou ouvrez le fichier comme d’habitude, et observez : fenêtres publicitaires, programmes ajoutés en douce, demande de droits inhabituelle.
- Fermez la fenêtre. Windows demande de confirmer la suppression de tout le contenu : validez, et rien ne reste.
Cette méthode évite le scénario classique où l’on installe un logiciel, où il ne convient pas, et où il faut ensuite le désinstaller sur Windows 11 en espérant qu’il ne laisse pas de traces. Si un programme s’est déjà installé sur votre vrai PC, la vidéo ci-dessous montre comment l’enlever proprement.
Le bac à sable ne remplace pas l’antivirus. Il empêche un programme de modifier votre système, mais il ne dit pas si le fichier est malveillant. Pour savoir ce que l’antivirus intégré analyse réellement, voyez mon article sur Windows Defender.
Les deux réglages par défaut à connaître
Lancé depuis le menu Démarrer, le bac à sable n’est pas hermétique. Deux ouvertures sont actives d’office, et Microsoft les signale lui-même dans sa documentation :
- Le réseau est activé. Le bac à sable a accès à Internet, mais aussi au réseau local de la maison. Microsoft prévient que cela peut exposer une application douteuse au réseau interne : un programme malveillant lancé dedans pourrait chercher à joindre les autres appareils de la box.
- Le presse-papiers est partagé. Le texte et les fichiers passent dans les deux sens entre votre PC et le bac à sable. C’est pratique pour faire entrer un fichier, mais un fichier copié depuis le bac à sable revient sur votre vrai PC.
Le micro de l’ordinateur est lui aussi transmis par défaut, alors que la webcam et les imprimantes ne le sont pas. Pour un simple essai de logiciel connu, ces réglages ne posent pas de problème. Pour un fichier dont vous doutez vraiment, mieux vaut ouvrir un bac à sable coupé du réseau.
Un bac à sable sans Internet avec un fichier .wsb
Windows Sandbox lit de petits fichiers de configuration en extension .wsb. Un double clic sur l’un d’eux ouvre le bac à sable avec ses réglages. Voici celui que je conseille pour examiner un fichier suspect : pas de réseau, pas de presse-papiers, et un dossier de votre PC partagé en lecture seule.
- Créez un dossier « A-tester » dans vos Téléchargements et placez-y le fichier à examiner.
- Ouvrez le Bloc-notes et collez le texte ci-dessous, en remplaçant VotreNom par le nom de votre dossier utilisateur.
- Enregistrez avec Fichier, Enregistrer sous, en tapant le nom entre guillemets : « SansInternet.wsb ». Sans les guillemets, le Bloc-notes ajoute .txt.
- Double-cliquez sur SansInternet.wsb : le dossier A-tester apparaît sur le bureau du bac à sable.
<Configuration>
<Networking>Disable</Networking>
<ClipboardRedirection>Disable</ClipboardRedirection>
<MappedFolders>
<MappedFolder>
<HostFolder>C:\Users\VotreNom\Downloads\A-tester</HostFolder>
<ReadOnly>true</ReadOnly>
</MappedFolder>
</MappedFolders>
</Configuration>Le dossier doit exister avant le lancement, sinon le bac à sable refuse de démarrer. La ligne ReadOnly compte : Microsoft précise que les modifications faites dans un dossier partagé en écriture restent sur le PC après la fermeture. En lecture seule, un programme lancé dans le bac à sable ne peut rien y écrire.
Ce que le bac à sable ne fait pas
Avant d’en faire un outil de tous les jours, voici ses limites, toutes tirées de la documentation de Microsoft :
- Rien ne se sauvegarde. Il n’existe aucun moyen de conserver l’état du bac à sable d’une session à l’autre : fermer la fenêtre supprime logiciels, fichiers et réglages. Une nuance depuis Windows 11 22H2, un redémarrage lancé de l’intérieur du bac à sable garde son contenu, ce qui sert pour un installeur qui réclame un redémarrage. Seul un fichier copié vers le PC ou écrit dans un dossier partagé en écriture survit à la fermeture.
- Un seul bac à sable à la fois. Impossible d’en ouvrir deux en parallèle.
- Même version que votre Windows. On ne peut pas y lancer Windows 10 depuis Windows 11, ni une autre langue du système.
- Pas de Microsoft Store. Les applications du Store ne s’installent qu’à partir d’un fichier .appx. Et depuis Windows 11 24H2, le Bloc-notes, la Calculatrice, Photos et le Terminal n’y sont plus disponibles.
- Pas de fonctionnalités facultatives à activer à l’intérieur, et une mémoire limitée à 4 Go par défaut.
Pour un jeu, un logiciel de montage ou tout programme qu’on veut garder, ce n’est donc pas le bon outil : une machine virtuelle classique conserve son contenu, le bac à sable non.
Quand Windows Sandbox ne démarre pas
Microsoft tient une page de dépannage pour le bac à sable, et le message affiché suffit en général à trouver la cause. Voici ceux qu’on rencontre en usage normal, avec ce qu’ils veulent dire :
- « No hypervisor was found. Please enable hypervisor support. » Le bac à sable ne fonctionne qu’avec l’hyperviseur de Microsoft, les hyperviseurs d’autres éditeurs ne sont pas pris en charge. Revérifiez la virtualisation, comme expliqué plus haut.
- REGDB_E_IIDNOTREG. La fonctionnalité n’est pas cochée, ou plus, dans « Activer ou désactiver des fonctionnalités Windows ». Recochez « Bac à sable Windows » et redémarrez.
- ERROR_FILE_NOT_FOUND ou E_INVALIDARG au lancement d’un fichier .wsb. Le chemin du fichier est faux, ou son contenu est mal formé : une balise non refermée suffit à bloquer le démarrage, et le message ne dit pas quelle ligne pose problème.
- « Application cannot be run more than once » (0x800401F6). Un bac à sable tourne déjà, peut-être dans une fenêtre réduite. Il n’en accepte qu’un à la fois.
- WININET_E_NAME_NOT_RESOLVED au premier lancement sur Windows 11 24H2. La mise à jour par le Microsoft Store n’a pas trouvé Internet. Elle reprend seule en arrière-plan, et l’ancienne version reste utilisable en attendant.
Pour savoir quelle version vous avez, Microsoft donne deux repères : la nouvelle application apparaît dans Paramètres, Système, Composants système, et la commande wsb –version répond. Si wsb est inconnue, vous êtes encore sur l’ancienne version.
Cette commande wsb est l’autre nouveauté de la version 24H2. Dans un terminal, wsb start lance un bac à sable et renvoie son identifiant, wsb list affiche ceux qui tournent, wsb share partage un dossier en cours de session et wsb stop l’arrête. Elle sert surtout à automatiser des tests depuis un script PowerShell. Pour essayer un logiciel de temps en temps, le menu Démarrer suffit.
Sur Windows Famille : quelles solutions ?
Sur Windows 11 Famille, la case « Bac à sable Windows » n’apparaît pas dans la liste des fonctionnalités, et Microsoft ne prévoit aucun moyen officiel de l’ajouter. Des scripts circulent pour la forcer, mais ils ne sont pas pris en charge et je ne les recommande pas sur un PC dont on se sert tous les jours.
Je l’ai vérifié sur mon PC, qui tourne sous Windows 11 Famille 24H2 (build 26100) : le fichier WindowsSandbox.exe n’existe pas dans C:\Windows\System32, aucune application WindowsSandbox n’est installée, et la commande wsb est inconnue. Rien n’est là à activer.
Deux voies restent possibles. La première est de passer en édition Pro, qui débloque aussi BitLocker et Hyper-V : je compare ce que chaque édition apporte dans mon article Windows 11 Famille ou Pro. La seconde est d’installer un logiciel de machine virtuelle gratuit comme VirtualBox, qui fonctionne sur Windows Famille, au prix d’une installation de Windows à faire soi-même dans la machine virtuelle.
Les questions qu’on me pose le plus
Comment fonctionne Windows Sandbox ?
Windows Sandbox crée une petite machine virtuelle à partir des fichiers de votre propre Windows, isolée du système par l’hyperviseur. Tout ce qui s’y passe reste à l’intérieur, et tout est effacé à la fermeture de la fenêtre.
Comment activer le bac à sable Windows sur Windows 11 ?
Ouvrez « Activer ou désactiver des fonctionnalités Windows » depuis la recherche, cochez « Bac à sable Windows », validez et redémarrez. Il faut une édition Pro, Entreprise ou Éducation et la virtualisation activée dans le BIOS.
Le bac à sable de Windows est-il sûr ?
Il isole bien le système, mais pas complètement dans sa configuration par défaut : le réseau local et le presse-papiers restent ouverts. Pour un fichier vraiment suspect, lancez-le avec un fichier .wsb qui coupe le réseau et le presse-papiers.
Peut-on utiliser Windows Sandbox sur Windows Famille ?
Non, pas officiellement : la fonctionnalité est réservée aux éditions Pro, Entreprise et Éducation. Sur Windows Famille, il faut passer en Pro ou utiliser une machine virtuelle gratuite comme VirtualBox.
Faut-il télécharger Windows Sandbox ?
Non. Il est livré avec Windows 10 et 11 Pro, Entreprise et Éducation, simplement désactivé, et aucun site n’a de version à proposer. Depuis Windows 11 24H2, une fois la fonctionnalité cochée, l’application se met à jour seule par le Microsoft Store.
Peut-on sauvegarder l’état de Windows Sandbox ?
Non, Microsoft le dit dans sa FAQ : la fermeture supprime tous les logiciels, fichiers et réglages. Seul un redémarrage lancé de l’intérieur conserve le contenu. Pour garder un environnement de test d’un jour à l’autre, il faut une vraie machine virtuelle, par exemple avec Hyper-V.
