Windows Sandbox: probar programas sospechosos sin riesgo

Windows Sandbox (en español, Espacio aislado de Windows) es un Windows limpio y desechable que se abre en una ventana. Lo que instales o ejecutes dentro desaparece al cerrarlo. Esta guía explica qué edición necesitas, cómo activarlo y cómo configurarlo para abrir archivos dudosos con la mínima exposición.

En resumen

• Funciona en Windows 10 y 11 Pro, Enterprise y Education; no en Home.
• Necesitas virtualización activada en la BIOS/UEFI, 4 GB de RAM como mínimo y 2 núcleos.
• Al cerrarlo se borra todo: programas, archivos y configuración.
• Por defecto tiene red y portapapeles compartido; con un archivo .wsb puedes desactivarlos.
• Es una capa de protección, no una garantía absoluta.

Qué es y cómo funciona

Windows Sandbox es una máquina virtual ligera que usa el hipervisor de Microsoft. Comparte los archivos de sistema del Windows principal (el anfitrión), por lo que arranca en segundos y ocupa poco disco.

Tres ideas clave:

• Siempre empieza limpio. Cada vez que lo abres es como una instalación nueva.
• Es desechable. Al cerrar la ventana, Windows te avisa de que se descartará todo el contenido.
• Está aislado por hardware. Tiene su propio núcleo de Windows separado del anfitrión.

Desde Windows 11 22H2, si reinicias el sistema desde dentro del sandbox (por ejemplo, porque un instalador lo pide), los datos se conservan durante ese reinicio. Al cerrar la ventana, se borran igual.

Requisitos

Windows Home no es compatible. Si tienes Home, la opción ni aparece en la lista de características.

Comprobar la virtualización

Abre el Administrador de tareas (Ctrl + Mayús + Esc), pestaña Rendimiento → CPU. Abajo a la derecha debe poner Virtualización: Habilitado.

Si pone «Deshabilitado», entra en la BIOS/UEFI y activa la opción, que según el fabricante se llama Intel VT-x, Intel Virtualization Technology, AMD-V o SVM Mode.

Cómo activarlo

Con la interfaz gráfica

1. Pulsa Inicio y escribe características de Windows.
2. Abre Activar o desactivar las características de Windows.
3. Marca Espacio aislado de Windows (Windows Sandbox).
4. Pulsa Aceptar y reinicia cuando te lo pida.
5. Busca Windows Sandbox en el menú Inicio para abrirlo.

Con PowerShell

Abre PowerShell como administrador y ejecuta:

Enable-WindowsOptionalFeature -FeatureName "Containers-DisposableClientVM" -All -Online

Reinicia al terminar.

Si Windows ya es una máquina virtual (por ejemplo, en Hyper-V), el anfitrión debe tener activada la virtualización anidada.

Uso básico: probar un instalador dudoso

1. Abre Windows Sandbox. Verás un escritorio de Windows vacío.
2. En tu Windows normal, copia el archivo (Ctrl + C).
3. Pégalo en el escritorio del sandbox (Ctrl + V). El portapapeles está compartido por defecto.
4. Ejecútalo dentro y observa qué hace: qué instala, qué ventanas abre, si pide permisos raros.
5. Cierra la ventana del sandbox y confirma. Todo desaparece.

Así compruebas, por ejemplo, si un instalador gratuito añade barras de herramientas o programas extra sin ensuciar tu sistema.

Configuración por defecto

Según la documentación de Microsoft, al abrirlo sin configuración el sandbox arranca así:

Que la red esté activa significa que un programa malicioso podría intentar comunicarse con otros equipos de tu red local. Para archivos realmente sospechosos, conviene apagarla.

Crear un archivo .wsb

Un archivo .wsb es un XML con la configuración del sandbox. Al hacer doble clic sobre él, Windows Sandbox se abre con esos ajustes.

1. Abre el Bloc de notas.
2. Pega este contenido:

<Configuration>
  <Networking>Disable</Networking>
  <vGPU>Disable</vGPU>
  <ClipboardRedirection>Disable</ClipboardRedirection>
  <AudioInput>Disable</AudioInput>
  <MappedFolders>
    <MappedFolder>
      <HostFolder>C:\Sospechosos</HostFolder>
      <SandboxFolder>C:\Users\WDAGUtilityAccount\Desktop\Sospechosos</SandboxFolder>
      <ReadOnly>true</ReadOnly>
    </MappedFolder>
  </MappedFolders>
  <MemoryInMB>4096</MemoryInMB>
</Configuration>

3. Guárdalo como "Sandbox-seguro.wsb" (con comillas, para que el Bloc de notas no añada .txt).
4. Crea la carpeta C:\Sospechosos y mete ahí lo que quieras probar.
5. Haz doble clic en el .wsb.

Qué hace cada línea

• Networking: Disable → sin red. El programa no puede descargar nada ni ver tu red local.
• vGPU: Disable → usa renderizado por software. Microsoft indica que la vGPU puede aumentar la superficie de ataque.
• ClipboardRedirection: Disable → no se puede copiar y pegar entre el sandbox y tu equipo.
• AudioInput: Disable → el sandbox no accede al micrófono.
• MappedFolder con ReadOnly: true → la carpeta aparece en el escritorio del sandbox, pero dentro no se puede modificar. WDAGUtilityAccount es el usuario predeterminado del sandbox.
• MemoryInMB → memoria asignada. Si indicas menos de lo necesario para arrancar, sube automáticamente a 2048 MB.

La carpeta del anfitrión (HostFolder) debe existir; si no, el sandbox no arranca.

Ejecutar algo al iniciar

Con LogonCommand puedes lanzar un comando al entrar, por ejemplo abrir la carpeta compartida:

<LogonCommand>
  <Command>explorer.exe C:\Users\WDAGUtilityAccount\Desktop\Sospechosos</Command>
</LogonCommand>

Va dentro de Configuration, igual que las demás opciones.

Limitaciones que debes conocer

• No es compatible con Windows Home.
• Solo una instancia a la vez. No puedes abrir dos sandbox simultáneos.
• No guarda nada entre sesiones. Cada vez tendrás que reinstalar lo que necesites.
• Sin aplicaciones de la Store integradas. Desde Windows 11 24H2, Microsoft indica que Calculadora, Fotos, Bloc de notas o Terminal no están disponibles dentro del sandbox.
• El tamaño de la ventana no se configura desde el .wsb.
• Las carpetas compartidas con escritura sí persisten. Si mapeas una carpeta con ReadOnly en false, lo que se cambie dentro se queda en tu disco real.

Errores habituales

• No aparece «Espacio aislado de Windows» en la lista. Tu edición es Home o el equipo no cumple requisitos.
• Error de virtualización al abrirlo. La virtualización está desactivada en la BIOS/UEFI.
• Probar malware con la red activada. Para archivos dudosos, usa siempre un .wsb con Networking en Disable.
• Compartir carpetas con escritura. Si el programa es malicioso, podría cifrar o borrar lo que haya en ellas.
• Confiar ciegamente. Algunos programas detectan que están en una máquina virtual y no muestran su comportamiento real. Complementa con un análisis antivirus.

Preguntas frecuentes

¿Necesito otra licencia de Windows?

No. Va incluido en las ediciones compatibles.

¿Puedo usarlo para navegar por webs dudosas?

Sí, es uno de los usos que propone Microsoft. Ahí sí necesitas la red activada, así que no compartas carpetas ni el portapapeles.

¿Lo detecta mi antivirus?

Microsoft Defender funciona en el anfitrión con normalidad. Dentro del sandbox, el entorno se descarta al cerrar, así que no queda nada que limpiar.

Relacionados

• Solucionar «Tu organización se encarga de la protección» en Microsoft Defender
• Eliminar el historial de protección de Microsoft Defender
• Clave de recuperación de BitLocker: dónde encontrarla
• winget: instalar y actualizar programas con un comando