Laddat ner en.exe från en okänd källa och är rädd för att köra den? Eller behöver du öppna en misstänkt länk, men webbläsaren är ett fönster in i ditt huvudsystem med alla dina lösenord och filer? Den som administrerar en Windows-dator stöter förr eller senare på det här dilemmat. Antivirusprogram fångar inte allt, och en virtuell maskin är en omständlig lösning för bara en enda fil.

Det är här en sandlåda kommer in: en isolerad miljö där ett program körs normalt men inte kan röra det riktiga systemet. Sedan 2020 har det bästa verktyget för detta på Windows varit Sandboxie, som blev öppen källkod och fick nytt liv.

💡 Snabb överblick:

• Ladda ner Sandboxie Plus från den officiella webbplatsen och installera det; isoleringsdrivrutinen integreras i systemet på ett par minuter.
• Starta en webbläsare eller ett annat program via snabbmenyn "Kör sandlådad"; fönstret visas med ett [#]-prefix i titeln.
• Verifiera isoleringen: ladda ner en testfil inuti sandlådan, stäng programmet och notera att den inte finns på den riktiga disken.
• Om det behövs, återställ filen via "Snabb återställning", välj målmapp och bekräfta överföringen.

Vad Sandboxie är och var det kommer ifrån

Sandboxie skapar en isolerad driftsmiljö ovanpå Windows. Inuti den ser programmen sin egen kopia av registret och filsystemet, men det riktiga registret och disken förblir orörda. Stäng programmet och alla ändringar försvinner.

Projektet har en lång historia. Den ursprungliga skaparen Ronen Tzur skrev den första versionen redan 2004. Senare köpte Invincea produkten, sedan förvärvade Sophos den. 2017 integrerade Sophos Sandboxie i sitt företagspaket, och 2020 tillkännagav de slutet på utvecklingen och släppte källkoden under GPLv3-licensen.

Sedan dess har David Xanatos lett projektet, och han har på allvar blåst nytt liv i Sandboxie. Idag finns två versioner tillgängliga:

• Sandboxie Plus, en modern version med ett Qt-gränssnitt, nya funktioner och aktiv utveckling (senaste version 1.15.6, februari 2025).
• Sandboxie Classic, det ursprungliga MFC-gränssnittet, utan nya funktioner, men på samma beprövade isoleringskärna.

På GitHub har projektet 18 600 stjärnor och över 2 000 forks; för ett verktyg i den här klassen är det mycket. Utvecklingen fortsätter stadigt: stöd för Windows 11, ARM64-processorer, nya isoleringslägen.

Installation och första start

Installationen är enkel men kräver uppmärksamhet. Huvudkomponenten är Sandboxie-drivrutinen, som fångar upp systemanrop på kärnnivå och omdirigerar dem till den isolerade miljön. På en testdator med Windows 10 Home installerades drivrutinen utan konflikter med det inbyggda Windows-skyddet.

Vid första start skannar Sandboxie installerade program och erbjuder sig att tillämpa kompatibilitetsmallar för webbläsare, e-postklienter och annan programvara. Tacka inte nej; mallarna sparar inställningstid, och du kan ta bort onödiga senare.

Omedelbart efter guiden visas en genväg märkt "Sandboxie, Standardwebbläsare" på skrivbordet. Detta är sandlådan DefaultBox med en förkonfigurerad profil för din webbläsare.

Gränssnitt och grundläggande användning

Programmets huvudfönster påminner om Aktivitetshanteraren. Till vänster finns en lista över sandlådor (behållare), till höger visas processer som körs i den valda sandlådan. Allt är grupperat per behållare: du kan skapa separata isolerade miljöer för webbläsaren, e-post och misstänkta filer.

Den främsta visuella indikatorn på att ett program är sandlådat är [#]-prefixet i fönstertiteln. I Firefox och de flesta klassiska program fungerar detta tillförlitligt. I Chrome är titeln dold, så det finns ingen visuell markör; det kan bara identifieras genom att hovra över fönstret i aktivitetsfältet. I praktiken känner vi igen en sandlådad Chrome genom avsaknaden av bokmärken och historik från den riktiga profilen.

Du kan köra vilket program som helst i sandlådan: högerklicka på en körbar fil eller genväg → "Kör sandlådad" → välj en behållare. Det finns inga begränsningar för programtyper; exe, msi och portabla versioner fungerar alla på samma sätt.

Hur filisolering fungerar

Den centrala mekanismen: allt ett program gör inuti sandlådan stannar där. Ladda ner en fil via den sandlådade webbläsaren och den sparas till det virtuella filsystemet inuti behållaren. Stäng webbläsaren och det virtuella systemet rensas; ingenting finns kvar på den riktiga disken.

Men vad händer om du faktiskt behöver filen? Det är vad "Omedelbar återställning" är till för. När du försöker spara en fil till en av systemmapparna (Hämtade filer, Dokument, Skrivbord), fångar Sandboxie upp åtgärden och erbjuder sig att återställa den (det vill säga kopiera den från sandlådan till det riktiga systemet).

Mekanismen är inte den mest intuitiva. Alternativet "Stäng" i återställningsdialogen avbryter inte sparandet; filen stannar kvar inuti sandlådan. "Återställ" kopierar ut den. Efter att programmet stängts raderas icke-återställda filer. I praktiken vänjer man sig vid detta efter ett par dagars aktiv användning.

Att starta via snabbmenyn är det vanligaste scenariot i det dagliga arbetet. Du väljer en behållare och programmet startar isolerat utan ytterligare åtgärder.

Ur ett prestandaperspektiv finns det inget att klaga på. I den sandboxade Firefox och Chrome märktes ingen hastighetsförsämring, inga konflikter med tillägg och inga problem med videouppspelning. Isoleringens overhead är minimal.

Finjustering: begränsningar och behörigheter

Sandboxie-inställningarna är uppdelade i två nivåer. Den första är snabbinställningar för den aktuella processen: högerklickar du på en process i huvudfönstret kan du ändra beteendet för den sessionen. Den andra är globala inställningar för varje sandlåda separat.

De globala inställningarna ligger mer undangömda än man skulle önska. De öppnas via menyn "Sandbox" → "Sandbox Settings", och det är en lång lista med flikar: utseende, filåterställning och borttagning, gruppering av program efter typ, filöverföring mellan miljöer.

Här definierar du mappar för vilka "Immediate Recovery" aktiveras och beteendet när program inuti sandlådan stängs.

Gruppering låter dig samla webbläsare på samma motor eller alla kontorsprogram under en enda uppsättning regler, så att du slipper konfigurera varje program för sig.

Att överföra filer mellan sandlådor är användbart när du har flera behållare och behöver skicka data från en till en annan utan att gå via det riktiga systemet.

Filsystemets begränsningar styr vilka mappar det isolerade programmet får komma åt och vilka som är helt dolda.

Observera: vissa parametrar beskrivs genom negationer ("blockera inte", "förbjud inte"). Detta är ett arv från den gamla konfigurationsmetoden och är förvirrande. Du måste mentalt vända på logiken för att förstå vad som händer när du aktiverar ett alternativ.

Härnäst kommer ett verkligt lågnivåavsnitt, åtkomsträttigheter. Här kan du för varje sandlåda konfigurera: vilka filer som är tillgängliga för läsning och skrivning, vilka som är helt dolda, vilka nätverksportar som är öppna, vilka DLL-filer som får laddas. I grunden är detta analogt med SELinux eller AppArmor i Windows-världen: kraftfullt, men kräver djup systemförståelse.

Varje rad i denna lista är en regel som avgör om ett program inuti sandlådan kan läsa en specifik fil, skriva till den eller ens se att den existerar.

Avsnitten för register, IPC och COM är territorium för systemadministratörer och utvecklare. Om du inte vet vad en processtabell eller registervirtualisering är, är det bättre att inte gå in i dessa avsnitt. Ett konfigurationsfel kan hindra Windows från att starta eller göra program inuti sandlådan obrukbara.

Fliken "Applications" är en extremt lång lista med kategorier med fördefinierade regler: webbläsare, e-postklienter, PDF-läsare, multimedia, arkiverare. För varje kategori kan du aktivera eller inaktivera en grupp regler med en enda kryssruta.

Kompatibilitetsmallar är en färdig uppsättning regler för specifika program. För Firefox är till exempel behörigheter för åtkomst till profil och cache redan definierade, så att webbläsaren fungerar utan ytterligare manuell konfiguration.

Konfigurationen är också tillgänglig via en ini-fil för den som behöver massdistribution eller automatisering. Det ser ålderdomligt ut men fungerar och gör det möjligt att kopiera inställningar mellan datorer i en enda operation.

Sammanfattning om inställningar: Sandboxie ger en oöverträffad kontrollnivå för ett gratis verktyg. Konfigurationsgränssnittet är dock fortfarande en inträdesbarriär som avskräcker nybörjare.

En visuell demonstration av grundscenariot (att starta en webbläsare i en sandlåda och verifiera filisolering) finns i videon ovan.

Var sandlådemodellen brister

På pappret ser Sandboxie felfritt ut: programmet är isolerat från systemet och kan inte orsaka skada. I praktiken fallerar modellen på tre punkter.

För det första, användaren själv. Mekanismen "Omedelbar återställning" är bekväm, men den är också den främsta riskvektorn. Du laddade ner en fil i den sandlådade webbläsaren, återställde den till den riktiga mappen Hämtade filer och startade den utanför. Om filen är skadlig räddade sandlådan dig inte: den isolerar bara det som finns inuti. Beslutet att återställa fattas av en person, och att ha Sandboxie kan skapa en falsk känsla av säkerhet. Enligt vår erfarenhet är kedjan "nedsladdad i sandlåda → återställd → startad utanför" det vanligaste komprometteringsscenariot.

För det andra, felkonfiguration. Du lättade på restriktionerna så att programmet inuti sandlådan skulle fungera "ordentligt", och öppnade åtkomst till en riktig mapp eller registergren. I det ögonblicket skapade du en öppning i isoleringen. Paradoxen är att de striktaste inställningarna ofta stör bekvämligheten, och användaren mjukar upp dem. Och inte alltid kompetent.

För det tredje, alternativa skyddsmekanismer som redan finns i systemet. Moderna webbläsare (Chrome, Edge, Firefox) har länge arbetat i sina egna sandlådor på processnivå. Windows har inbyggt Exploit Protection och Kontrollerad mappåtkomst. Att köra en webbläsare under ett begränsat Windows-konto täcker faktiskt de flesta scenarier som användare installerar Sandboxie för.

Detta betyder inte att Sandboxie är oanvändbart. Det ger vad webbläsarsandlådor saknar: isolering för alla program, inte bara webbsidor. Testa installationsprogram, köra gamla verktyg av okänt ursprung, kontrollera testversioner med aggressiv DRM: detta är scenarier där inbyggt Windows-skydd är otillräckligt.

⁉️🤔 Vanliga frågor

Är Sandboxie ett antivirus?

Nej. Sandboxie isolerar program från systemet men söker inte efter eller tar bort skadlig kod. Det förhindrar infektion genom att blockera ändringar på disken snarare än att skanna filer. För fullständigt skydd, använd det tillsammans med ett antivirus, inte istället för ett.

Vilken version är bättre, Plus eller Classic?

Sandboxie Plus. Den har ett modernt Qt-gränssnitt, en återställningspanel med förhandsgranskning, processgruppering och aktivt utvecklarstöd (släpper nya versioner med några månaders mellanrum). Classic är bara meningsfullt på äldre maskiner där Qt-versionen inte körs.

Kan man köra ett virus inuti sandlådan?

Det kan man, och det är säkert under två förutsättningar: du återställer inte den skadliga filen till utsidan via "Omedelbar återställning" och du har inte gett sandlådan åtkomst till riktiga systemmappar. Sandlådan isolerar ändringar, men den gör inte själva viruset ofarligt. Om du återställer det och kör det utanför kommer en infektion att inträffa.

Fungerar Sandboxie på Windows 11?

Ja. Från och med version 1.3.5 (september 2022) har Sandboxie Plus fullt stöd för Windows 11, inklusive integration med den uppdaterade snabbmenyn. Dessutom lades stöd för ARM64-processorer till i version 1.5.0.

Vad händer om man avinstallerar Sandboxie medan sandlådor körs?

Alla filer inuti sandlådorna kommer att raderas tillsammans med programmet. Innan du avinstallerar, gå in i varje sandlåda via huvudfönstret och återställ nödvändiga filer via "Omedelbar återställning". Därefter avinstallerar du programmet på vanligt sätt.

Finns det alternativ för macOS eller Linux?

Det finns ingen direkt motsvarighet. På Linux hanteras isoleringsuppgiften av Firejail och Bubblewrap; de arbetar på namnrymds- och kontrollgruppsnivå snarare än via en kärndrivrutin som Sandboxie. På macOS är det närmaste verktyget i anden den inbyggda App Sandbox, men användare kan inte tillämpa den på godtyckliga program.

En sandlåda för vardagsbruk: när den lönar sig

Sandboxie är inte för alla. Om du arbetar i en webbläsare, inte laddar ner filer från tvivelaktiga källor och använder ett standardkonto utan administratörsrättigheter är det inbyggda Windows-skyddet tillräckligt.

Men om du regelbundet testar programvara, öppnar bilagor från okända avsändare eller arbetar med program du inte litar fullt ut på, lönar sig Sandboxie Plus redan första dagen. Det är ett gratis verktyg med öppen källkod som ger en isoleringsnivå jämförbar med en virtuell maskin, men utan omkostnaden för ett andra operativsystem.

Det viktigaste att komma ihåg: sandlådan skyddar systemet från programmet, inte programmet från användaren. Beslutet att återställa en fil till utsidan är ditt. Och det är den svagaste länken.