Vous avez téléchargé un.exe depuis une source non fiable et vous hésitez à l’exécuter? Ou vous devez ouvrir un lien suspect, mais le navigateur est une fenêtre ouverte sur votre système principal, avec tous vos mots de passe et fichiers? Toute personne qui administre un poste Windows finit par se retrouver face à ce dilemme. Un antivirus ne détecte pas tout, et une machine virtuelle est une solution trop lourde pour un simple fichier.

C’est là qu’intervient le bac à sable (sandbox): un environnement isolé où une application s’exécute normalement, mais sans pouvoir toucher au système réel. Depuis 2020, le meilleur outil pour cela sous Windows est Sandboxie, devenu open source et qui a connu une seconde jeunesse.

💡 En bref:

• Téléchargez Sandboxie Plus depuis le site officiel et installez-le; le pilote d’isolation s’intègre au système en quelques minutes.
• Lancez un navigateur ou n’importe quel programme via le menu contextuel «Exécuter en bac à sable»; la fenêtre apparaît avec le préfixe [#] dans son titre.
• Vérifiez l’isolation: téléchargez un fichier test à l’intérieur du bac à sable, fermez le programme et constatez qu’il ne se trouve pas sur le disque réel.
• Si nécessaire, récupérez le fichier via «Récupération rapide», choisissez le dossier de destination et confirmez le transfert.

Qu’est-ce que Sandboxie et d’où vient-il

Sandboxie crée un environnement d’exécution isolé par-dessus Windows. À l’intérieur, les applications voient leur propre copie du registre et du système de fichiers, mais le registre et le disque réels restent intacts. Fermez le programme et toutes les modifications disparaissent.

Le projet a une longue histoire. L’auteur original, Ronen Tzur, a écrit la première version en 2004. Par la suite, Invincea a racheté le produit, puis Sophos en a fait l’acquisition. En 2017, Sophos a intégré Sandboxie dans son offre entreprise et, en 2020, a annoncé la fin du développement en publiant le code source sous licence GPLv3.

Depuis, David Xanatos pilote le projet et lui a redonné un sérieux coup de jeune. Aujourd’hui, deux versions sont disponibles:

• Sandboxie Plus, une version moderne avec une interface Qt, de nouvelles fonctionnalités et un développement actif (dernière version 1.15.6, février 2025).
• Sandboxie Classic, l’interface MFC d’origine, sans nouvelles capacités, mais reposant sur le même noyau d’isolation éprouvé.

Sur GitHub, le projet totalise 18 600 étoiles et plus de 2 000 forks; pour un utilitaire de cette catégorie, c’est considérable. Le développement se poursuit régulièrement: prise en charge de Windows 11, des processeurs ARM64, nouveaux modes d’isolation.

Installation et premier lancement

L’installation est simple, mais demande de l’attention. Le composant principal est le pilote Sandboxie, qui intercepte les appels système au niveau du noyau et les redirige vers l’environnement isolé. Sur un poste de test équipé de Windows 10 Famille, le pilote s’est installé sans conflit avec la protection Windows intégrée.

Au premier lancement, Sandboxie analyse les programmes installés et propose d’appliquer des modèles de compatibilité pour les navigateurs, les clients de messagerie et d’autres logiciels. Ne refusez pas; ces modèles vous font gagner du temps de configuration, et vous pourrez supprimer les inutiles par la suite.

Juste après l’assistant, un raccourci intitulé «Sandboxie, navigateur par défaut» apparaît sur le bureau. Il s’agit du bac à sable DefaultBox avec un profil préconfiguré pour votre navigateur.

Interface et utilisation de base

La fenêtre principale du programme ressemble au Gestionnaire des tâches. À gauche, la liste des bacs à sable (conteneurs), à droite, les processus en cours d’exécution dans le bac à sable sélectionné. Tout est regroupé par conteneur: vous pouvez créer des environnements isolés distincts pour le navigateur, la messagerie et les fichiers suspects.

Le principal indicateur visuel qu’un programme est sandboxé est le préfixe [#] dans le titre de la fenêtre. Dans Firefox et la plupart des applications classiques, cela fonctionne de manière fiable. Dans Chrome, le titre est masqué, il n’y a donc pas de repère visuel; on ne peut l’identifier qu’en survolant la fenêtre dans la barre des tâches. En pratique, on reconnaît un Chrome sandboxé à l’absence des marque-pages et de l’historique du profil réel.

Vous pouvez exécuter n’importe quel programme dans le bac à sable: clic droit sur un fichier exécutable ou un raccourci → «Exécuter en bac à sable» → choisissez un conteneur. Il n’y a aucune restriction quant au type d’application; les.exe,.msi et les versions portables fonctionnent tous de la même manière.

Comment fonctionne l’isolation des fichiers

Le mécanisme clé: tout ce qu’un programme fait à l’intérieur du bac à sable y reste. Téléchargez un fichier via le navigateur sandboxé et il est enregistré dans le système de fichiers virtuel du conteneur. Fermez le navigateur et le système virtuel est nettoyé; rien ne subsiste sur le disque réel.

Mais que faire si vous avez réellement besoin du fichier? C’est à cela que sert la «Récupération immédiate». Lorsque vous essayez d’enregistrer un fichier dans l’un des dossiers système (Téléchargements, Documents, Bureau), Sandboxie intercepte l’opération et propose de le récupérer (c’est-à-dire de le copier du bac à sable vers le système réel).

Le mécanisme n’est pas le plus intuitif. L’option «Fermer» dans la boîte de dialogue de récupération n’annule pas l’enregistrement; le fichier reste à l’intérieur du bac à sable. «Récupérer» le copie à l’extérieur. Après la fermeture de l’application, les fichiers non récupérés sont supprimés. En pratique, on s’y habitue après quelques jours d’utilisation active.

Le lancement via le menu contextuel est le scénario le plus courant au quotidien. Vous sélectionnez un conteneur et le programme démarre en isolation, sans action supplémentaire.

Du point de vue des performances, il n’y a rien à redire. Dans les environnements sandboxés de Firefox et Chrome, nous n’avons constaté aucune baisse de vitesse perceptible, aucun conflit avec les extensions et aucun problème de lecture vidéo. Le surcoût lié à l’isolation est minime.

Réglage fin: restrictions et autorisations

Les paramètres de Sandboxie se répartissent sur deux niveaux. Le premier concerne les réglages rapides pour le processus en cours: un clic droit sur un processus dans la fenêtre principale vous permet de modifier le comportement pour cette session. Le second niveau regroupe les paramètres globaux, propres à chaque sandbox.

Les paramètres globaux sont un peu plus enfouis qu’on ne le souhaiterait. On y accède via le menu «Sandbox» → «Sandbox Settings», ce qui ouvre une longue liste d’onglets: apparence, récupération et suppression de fichiers, regroupement des programmes par type, transfert de fichiers entre environnements.

C’est ici que vous définissez les dossiers pour lesquels la «Récupération immédiate» se déclenche, ainsi que le comportement à adopter à la fermeture des programmes dans la sandbox.

Le regroupement vous permet d’associer les navigateurs utilisant le même moteur, ou toutes les applications bureautiques, sous un même jeu de règles, ce qui évite de devoir configurer chaque programme individuellement.

Le transfert de fichiers entre sandboxes est utile lorsque vous disposez de plusieurs conteneurs et devez faire passer des données de l’un à l’autre sans transiter par le système réel.

Les restrictions du système de fichiers déterminent les dossiers auxquels l’application isolée peut accéder et ceux qui lui sont totalement masqués.

Remarque: certains paramètres sont formulés par la négative («ne pas bloquer», «ne pas interdire»). C’est un héritage de l’ancienne approche de configuration, et cela prête à confusion. Vous devez mentalement inverser la logique pour comprendre ce qui se produira lorsque vous activez une option.

Vient ensuite une section véritablement bas niveau, les droits d’accès. Vous pouvez y configurer, pour chaque sandbox: quels fichiers sont accessibles en lecture et en écriture, lesquels sont complètement invisibles, quels ports réseau sont ouverts, quelles DLL peuvent être chargées. Dans les faits, c’est l’équivalent de SELinux ou AppArmor dans le monde Windows: très puissant, mais exigeant une connaissance approfondie du système.

Chaque ligne de cette liste est une règle qui détermine si une application à l’intérieur de la sandbox peut lire un fichier spécifique, y écrire, ou même voir qu’il existe.

Les sections Registre, IPC et COM sont le territoire des administrateurs système et des développeurs. Si vous ne savez pas ce qu’est une table de descripteurs de processus ou la virtualisation du Registre, mieux vaut ne pas toucher à ces sections. Une erreur de configuration peut empêcher Windows de démarrer ou rendre les applications à l’intérieur de la sandbox inopérantes.

L’onglet «Applications» présente une liste extrêmement longue de catégories assorties de règles prédéfinies: navigateurs, clients de messagerie, lecteurs PDF, multimédia, archiveurs. Pour chaque catégorie, vous pouvez activer ou désactiver un groupe de règles d’une simple case à cocher.

Les modèles de compatibilité sont des jeux de règles prêts à l’emploi pour des programmes spécifiques. Par exemple, pour Firefox, les autorisations d’accès au profil et au cache sont déjà définies, de sorte que le navigateur fonctionne sans configuration manuelle supplémentaire.

La configuration est également disponible via un fichier ini pour ceux qui ont besoin d’un déploiement de masse ou d’automatisation. Cela paraît archaïque, mais cela fonctionne et permet de copier les paramètres d’un ordinateur à l’autre en une seule opération.

En résumé sur les paramètres: Sandboxie offre un niveau de contrôle sans précédent pour un outil gratuit. Cependant, l’interface de configuration reste une barrière à l’entrée qui décourage les utilisateurs débutants.

Une démonstration visuelle du scénario de base (lancer un navigateur dans un bac à sable et vérifier l’isolation des fichiers) se trouve dans la vidéo ci-dessus.

Là où le modèle du bac à sable échoue

Sur le papier, Sandboxie semble parfait: le programme est isolé du système et ne peut pas causer de dommages. En pratique, le modèle montre ses limites sur trois points.

Premièrement, l’utilisateur lui-même. Le mécanisme de «Récupération immédiate» est pratique, mais c’est aussi le principal vecteur de risque. Vous avez téléchargé un fichier dans le navigateur isolé, vous l’avez récupéré dans le dossier Téléchargements réel et vous l’avez lancé à l’extérieur. Si le fichier est malveillant, le bac à sable ne vous a pas protégé: il n’isole que ce qui se trouve à l’intérieur. La décision de récupérer est prise par une personne, et le fait d’avoir Sandboxie peut créer un faux sentiment de sécurité. D’après notre expérience, la chaîne «téléchargé dans le bac à sable → récupéré → lancé à l’extérieur» est le scénario de compromission le plus courant.

Deuxièmement, une mauvaise configuration. Vous avez assoupli les restrictions pour que le programme à l’intérieur du bac à sable fonctionne «correctement», en ouvrant l’accès à un dossier réel ou à une branche du registre. À ce moment-là, vous avez créé une brèche dans l’isolation. Le paradoxe est que les paramètres les plus stricts nuisent souvent à la commodité, et l’utilisateur les assouplit. Et pas toujours de manière compétente.

Troisièmement, les mécanismes de protection alternatifs qui existent déjà dans le système. Les navigateurs modernes (Chrome, Edge, Firefox) fonctionnent depuis longtemps dans leurs propres bacs à sable au niveau des processus. Windows dispose d’une protection intégrée contre les exploits et d’un accès contrôlé aux dossiers. Exécuter un navigateur sous un compte Windows restreint couvre en réalité la plupart des scénarios pour lesquels les utilisateurs installent Sandboxie.

Cela ne signifie pas que Sandboxie est inutile. Il apporte ce qui manque aux bacs à sable des navigateurs: l’isolation pour n’importe quelle application, pas seulement pour les pages web. Tester des installateurs, exécuter d’anciens utilitaires d’origine inconnue, vérifier des versions d’essai avec des DRM agressifs: voilà des scénarios où la protection intégrée de Windows est insuffisante.

⁉️🤔 Foire aux questions

Sandboxie est-il un antivirus?

Non. Sandboxie isole les applications du système, mais ne recherche pas et ne supprime pas le code malveillant. Il prévient l’infection en bloquant les modifications sur le disque plutôt qu’en analysant les fichiers. Pour une protection complète, utilisez-le avec un antivirus, et non à la place de celui-ci.

Quelle version est la meilleure, Plus ou Classic?

Sandboxie Plus. Elle dispose d’une interface Qt moderne, d’un panneau de récupération avec aperçu, d’un regroupement des processus et d’un support actif des développeurs (des versions sont publiées tous les quelques mois). Classic n’a de sens que sur les machines plus anciennes où la version Qt ne fonctionne pas.

Peut-on exécuter un virus à l’intérieur du bac à sable?

Vous le pouvez, et c’est sûr à deux conditions: vous ne récupérez pas le fichier malveillant à l’extérieur via la «Récupération immédiate» et vous n’avez pas donné au bac à sable l’accès aux dossiers réels du système. Le bac à sable isole les modifications, mais il ne rend pas le virus lui-même inoffensif. Si vous le récupérez et l’exécutez à l’extérieur, l’infection se produira.

Sandboxie fonctionne-t-il sur Windows 11?

Oui. À partir de la version 1.3.5 (septembre 2022), Sandboxie Plus prend entièrement en charge Windows 11, y compris l’intégration avec le menu contextuel mis à jour. De plus, la prise en charge des processeurs ARM64 a été ajoutée dans la version 1.5.0.

Que se passe-t-il si vous désinstallez Sandboxie avec des bacs à sable en cours d’exécution?

Tous les fichiers à l’intérieur des bacs à sable seront supprimés avec le programme. Avant de désinstaller, allez dans chaque bac à sable via la fenêtre principale et récupérez les fichiers nécessaires via la «Récupération immédiate». Ensuite, désinstallez le programme de la manière habituelle.

Existe-t-il des alternatives pour macOS ou Linux?

Il n’y a pas d’équivalent direct. Sur Linux, la tâche d’isolation est gérée par Firejail et Bubblewrap; ils fonctionnent au niveau des espaces de noms et des groupes de contrôle plutôt que par un pilote noyau comme Sandboxie. Sur macOS, l’outil le plus proche dans l’esprit est le bac à sable d’application intégré, mais les utilisateurs ne peuvent pas l’appliquer à des programmes arbitraires.

Un bac à sable pour un usage quotidien: quand cela devient rentable

Sandboxie n’est pas pour tout le monde. Si vous travaillez dans un navigateur, ne téléchargez pas de fichiers provenant de sources douteuses et utilisez un compte standard sans droits d’administrateur, la protection intégrée de Windows est suffisante.

Mais si vous testez régulièrement des logiciels, ouvrez des pièces jointes d’expéditeurs inconnus ou travaillez avec des programmes auxquels vous ne faites pas entièrement confiance, Sandboxie Plus est rentable dès le premier jour. C’est un outil gratuit et open source qui offre un niveau d’isolation comparable à celui d’une machine virtuelle, mais sans la surcharge d’un second système d’exploitation.

La principale chose à retenir: le bac à sable protège le système de l’application, pas l’application de l’utilisateur. La décision de récupérer un fichier à l’extérieur vous appartient. Et c’est là le maillon faible.