Scaricato un.exe da una fonte non affidabile e hai paura di eseguirlo? O devi aprire un link sospetto, ma il browser è una finestra sul tuo sistema principale con tutte le password e i file? Chiunque amministri un computer Windows prima o poi si trova di fronte a questo dilemma. L'antivirus non rileva tutto e una macchina virtuale è una soluzione macchinosa per un solo file.

È qui che entra in gioco un sandbox: un ambiente isolato dove un'applicazione viene eseguita normalmente ma non può toccare il sistema reale. Dal 2020, lo strumento migliore per questo scopo su Windows è Sandboxie, che è diventato open source e ha ripreso nuova vita.

💡 Panoramica rapida:

• Scarica Sandboxie Plus dal sito ufficiale e installalo; il driver di isolamento si integra nel sistema in un paio di minuti.
• Avvia un browser o qualsiasi programma tramite il menu contestuale «Esegui in sandbox»; la finestra apparirà con il prefisso [#] nel titolo.
• Verifica l'isolamento: scarica un file di test dentro il sandbox, chiudi il programma e nota che non si trova sul disco reale.
• Se necessario, recupera il file tramite «Ripristino rapido», seleziona la cartella di destinazione e conferma il trasferimento.

Cos'è Sandboxie e da dove arriva

Sandboxie crea un ambiente operativo isolato sopra Windows. Al suo interno, le applicazioni vedono una propria copia del registro e del file system, ma il registro e il disco reali restano intatti. Chiudi il programma e tutte le modifiche scompaiono.

Il progetto ha una lunga storia. L'autore originale Ronen Tzur scrisse la prima versione nel 2004. In seguito, Invincea acquistò il prodotto, poi Sophos lo acquisì. Nel 2017, Sophos integrò Sandboxie nel suo pacchetto enterprise e nel 2020 annunciò la fine dello sviluppo e rilasciò il codice sorgente sotto licenza GPLv3.

Da allora, David Xanatos guida il progetto e gli ha dato nuova linfa in modo significativo. Oggi sono disponibili due versioni:

• Sandboxie Plus, una build moderna con interfaccia Qt, nuove funzionalità e sviluppo attivo (ultima release 1.15.6, febbraio 2025).
• Sandboxie Classic, l'interfaccia MFC originale, senza nuove capacità, ma sullo stesso collaudato kernel di isolamento.

Su GitHub, il progetto ha 18.600 stelle e oltre 2.000 fork; per un'utility di questa classe, è un dato notevole. Lo sviluppo prosegue costante: supporto per Windows 11, processori ARM64, nuove modalità di isolamento.

Installazione e primo avvio

L'installazione è semplice ma richiede attenzione. Il componente principale è il driver di Sandboxie, che intercetta le chiamate di sistema a livello kernel e le reindirizza verso l'ambiente isolato. Su un computer di test con Windows 10 Home, il driver si è installato senza conflitti con la protezione integrata di Windows.

Al primo avvio, Sandboxie analizza i programmi installati e propone di applicare modelli di compatibilità per browser, client di posta e altri software. Non rifiutare; i modelli fanno risparmiare tempo di configurazione e puoi rimuovere quelli superflui in seguito.

Subito dopo la procedura guidata, sul desktop compare un collegamento etichettato «Sandboxie, Browser predefinito». È il sandbox DefaultBox con un profilo preconfigurato per il tuo browser.

Interfaccia e utilizzo di base

La finestra principale del programma ricorda il Task Manager. A sinistra c'è l'elenco dei sandbox (contenitori), a destra i processi in esecuzione nel sandbox selezionato. Tutto è raggruppato per contenitore: puoi creare ambienti isolati separati per il browser, la posta e i file sospetti.

L'indicatore visivo principale che un programma è in sandbox è il prefisso [#] nel titolo della finestra. In Firefox e nella maggior parte delle applicazioni classiche, funziona in modo affidabile. In Chrome, il titolo è nascosto, quindi non c'è un marcatore visivo; lo si può identificare solo passando il mouse sulla finestra nella barra delle applicazioni. In pratica, riconosciamo un Chrome in sandbox dall'assenza di segnalibri e cronologia del profilo reale.

Puoi eseguire qualsiasi programma nel sandbox: clic destro su un file eseguibile o un collegamento → «Esegui in sandbox» → seleziona un contenitore. Non ci sono restrizioni sui tipi di applicazione; file exe, msi e build portatili funzionano tutti allo stesso modo.

Come funziona l'isolamento dei file

Il meccanismo chiave: tutto ciò che un programma fa dentro il sandbox resta lì. Scarica un file tramite il browser in sandbox e questo viene salvato nel file system virtuale dentro il contenitore. Chiudi il browser e il sistema virtuale viene ripulito; non resta nulla sul disco reale.

Ma se il file ti serve davvero? A questo serve il «Ripristino immediato». Quando provi a salvare un file in una delle cartelle di sistema (Download, Documenti, Desktop), Sandboxie intercetta l'operazione e propone di recuperarlo (cioè di copiarlo dal sandbox al sistema reale).

Il meccanismo non è dei più intuitivi. L'opzione «Chiudi» nella finestra di ripristino non annulla il salvataggio; il file resta dentro il sandbox. «Ripristina» lo copia all'esterno. Dopo la chiusura dell'applicazione, i file non recuperati vengono eliminati. Nella pratica, ci si abitua dopo un paio di giorni di uso attivo.

L'avvio tramite menu contestuale è lo scenario più comune nel lavoro quotidiano. Selezioni un contenitore e il programma parte in isolamento senza azioni aggiuntive.

Dal punto di vista delle prestazioni, non ci sono lamentele. Nei Firefox e Chrome in sandbox, non si è notato alcun calo di velocità percepibile, nessun conflitto con le estensioni e nessun problema nella riproduzione video. L'overhead dell'isolamento è minimo.

Ottimizzazione: restrizioni e autorizzazioni

Le impostazioni di Sandboxie sono divise su due livelli. Il primo sono le impostazioni rapide per il processo corrente: cliccando con il tasto destro su un processo nella finestra principale puoi modificare il comportamento per quella sessione. Il secondo sono le impostazioni globali per ogni sandbox.

Le impostazioni globali sono nascoste più in profondità di quanto si vorrebbe. Si aprono tramite il menu «Sandbox» → «Impostazioni Sandbox», ed è un lungo elenco di schede: aspetto, recupero e cancellazione file, raggruppamento programmi per tipologia, trasferimento file tra ambienti.

Qui definisci le cartelle per cui si attiva il «Recupero Immediato» e il comportamento alla chiusura dei programmi dentro la sandbox.

Il raggruppamento consente di unire i browser basati sullo stesso motore o tutte le applicazioni office sotto un unico set di regole, così non devi configurarle singolarmente.

Il trasferimento di file tra sandbox è utile quando hai più contenitori e devi passare dati da uno all'altro senza transitare dal sistema reale.

Le restrizioni del file system controllano a quali cartelle l'applicazione isolata può accedere e quali sono completamente nascoste.

Nota: alcuni parametri sono descritti tramite negazioni («non bloccare», «non proibire»). È un retaggio del vecchio approccio di configurazione e crea confusione. Devi ribaltare mentalmente la logica per capire cosa succederà quando attivi un'opzione.

Segue una sezione davvero di basso livello, i diritti di accesso. Qui puoi configurare per ogni sandbox: quali file sono disponibili in lettura e scrittura, quali sono completamente nascosti, quali porte di rete sono aperte, quali DLL possono essere caricate. In sostanza, è analogo a SELinux o AppArmor nel mondo Windows: potente, ma richiede una profonda comprensione del sistema.

Ogni riga in questo elenco è una regola che determina se un'applicazione dentro la sandbox può leggere un file specifico, scriverci o anche solo vederne l'esistenza.

Le sezioni registro, IPC e COM sono territorio per amministratori di sistema e sviluppatori. Se non sai cos'è una tabella dei descrittori di processo o la virtualizzazione del registro, è meglio non addentrarsi in queste sezioni. Un errore di configurazione può impedire l'avvio di Windows o rendere non funzionanti le applicazioni dentro la sandbox.

La scheda «Applicazioni» è un elenco estremamente lungo di categorie con regole predefinite: browser, client email, lettori PDF, multimedia, archiviatori. Per ogni categoria puoi attivare o disattivare un gruppo di regole con un singolo segno di spunta.

I modelli di compatibilità sono un insieme pronto di regole per programmi specifici. Ad esempio, per Firefox sono già definiti i permessi per accedere al profilo e alla cache, così il browser funziona senza configurazioni manuali aggiuntive.

La configurazione è disponibile anche tramite un file ini per chi ha bisogno di distribuzioni di massa o automazione. Sembra uno strumento arcaico ma funziona e permette di copiare le impostazioni tra computer in un'unica operazione.

In conclusione sulle impostazioni: Sandboxie offre un livello di controllo senza precedenti per uno strumento gratuito. Tuttavia, l'interfaccia di configurazione resta una barriera all'ingresso che scoraggia gli utenti principianti.

Una dimostrazione visiva dello scenario base (avviare un browser in una sandbox e verificare l'isolamento dei file) è nel video qui sopra.

Dove il modello sandbox fallisce

Sulla carta, Sandboxie sembra impeccabile: il programma è isolato dal sistema e non può causare danni. In pratica, il modello si rompe in tre punti.

Primo, l'utente stesso. Il meccanismo di "Ripristino immediato" è comodo, ma è anche il principale vettore di rischio. Hai scaricato un file nel browser sandboxato, lo hai ripristinato nella cartella Download reale e lo hai avviato all'esterno. Se il file è malevolo, la sandbox non ti ha salvato: isola solo ciò che è al suo interno. La decisione di ripristinare è presa da una persona, e avere Sandboxie può creare un falso senso di sicurezza. Nella nostra esperienza, la catena "scaricato nella sandbox → ripristinato → avviato all'esterno" è lo scenario di compromissione più comune.

Secondo, la configurazione errata. Hai allentato le restrizioni affinché il programma dentro la sandbox funzionasse "correttamente", aprendo l'accesso a una cartella reale o a un ramo del registro. In quel momento, hai creato una breccia nell'isolamento. Il paradosso è che le impostazioni più restrittive spesso interferiscono con la comodità d'uso, e l'utente le ammorbidisce. E non sempre in modo competente.

Terzo, i meccanismi di protezione alternativi già presenti nel sistema. I browser moderni (Chrome, Edge, Firefox) operano da tempo nelle proprie sandbox a livello di processo. Windows ha Protezione dagli exploit e Accesso controllato alle cartelle integrati. Eseguire un browser con un account Windows limitato copre in realtà la maggior parte degli scenari per cui gli utenti installano Sandboxie.

Questo non significa che Sandboxie sia inutile. Fornisce ciò che manca alle sandbox dei browser: l'isolamento per qualsiasi applicazione, non solo per le pagine web. Testare programmi di installazione, eseguire vecchie utility di origine sconosciuta, verificare versioni di prova con DRM aggressivi: questi sono scenari in cui la protezione integrata di Windows è insufficiente.

⁉️🤔 Domande frequenti

Sandboxie è un antivirus?

No. Sandboxie isola le applicazioni dal sistema ma non cerca né rimuove codice malevolo. Previene l'infezione bloccando le modifiche al disco anziché scansionare i file. Per una protezione completa, usalo insieme a un antivirus, non al suo posto.

Quale versione è migliore, Plus o Classic?

Sandboxie Plus. Ha un'interfaccia Qt moderna, un pannello di ripristino con anteprima, raggruppamento dei processi e supporto attivo dello sviluppatore (rilasci ogni pochi mesi). Classic ha senso solo su macchine più vecchie dove la versione Qt non funziona.

Si può eseguire un virus dentro la sandbox?

Sì, ed è sicuro a due condizioni: non ripristini il file malevolo all'esterno tramite "Ripristino immediato" e non hai concesso alla sandbox l'accesso a cartelle reali del sistema. La sandbox isola le modifiche, ma non rende il virus stesso innocuo. Se lo ripristini e lo esegui all'esterno, l'infezione avverrà.

Sandboxie funziona su Windows 11?

Sì. A partire dalla versione 1.3.5 (settembre 2022), Sandboxie Plus supporta pienamente Windows 11, inclusa l'integrazione con il menu contestuale aggiornato. Inoltre, il supporto per i processori ARM64 è stato aggiunto nella versione 1.5.0.

Cosa succede se disinstalli Sandboxie con sandbox in esecuzione?

Tutti i file dentro le sandbox verranno eliminati insieme al programma. Prima di disinstallare, accedi a ogni sandbox dalla finestra principale e ripristina i file necessari tramite "Ripristino immediato". Dopodiché, disinstalla il programma nel modo usuale.

Esistono alternative per macOS o Linux?

Non esiste un equivalente diretto. Su Linux, il compito di isolamento è gestito da Firejail e Bubblewrap; lavorano a livello di namespace e gruppi di controllo anziché tramite un driver del kernel come Sandboxie. Su macOS, lo strumento più vicino nello spirito è l'App Sandbox integrata, ma gli utenti non possono applicarla a programmi arbitrari.

Una sandbox per l'uso quotidiano: quando conviene

Sandboxie non è per tutti. Se lavori in un browser, non scarichi file da fonti discutibili e usi un account standard senza diritti di amministratore, la protezione integrata di Windows è sufficiente.

Ma se testi regolarmente software, apri allegati da mittenti sconosciuti o lavori con programmi di cui non ti fidi completamente, Sandboxie Plus ripaga già dal primo giorno. È uno strumento gratuito e open source che fornisce un livello di isolamento paragonabile a una macchina virtuale, ma senza il sovraccarico di un secondo sistema operativo.

La cosa principale da ricordare: la sandbox protegge il sistema dall'applicazione, non l'applicazione dall'utente. La decisione di ripristinare un file all'esterno è tua. Ed è quello l'anello più debole.