Come ottenere Windows Sandbox su Windows 10

Windows Sandbox non è una funzione “decorativa”: è una macchina temporanea, pulita a ogni avvio, utile per aprire file sospetti, testare installer e fare prove rapide senza sporcare il sistema principale. Su Windows 10 però non basta cercarla nel menu Start: va supportata dall’edizione giusta, da un hardware compatibile e da alcune virtualizzazioni attive nel BIOS/UEFI.

Quando Windows Sandbox è davvero disponibile

La prima distinzione da fare è semplice: Sandbox non esiste su tutte le installazioni di Windows 10. In pratica serve una versione Pro, Enterprise o Education. Su Home la funzione non compare, anche se il processore e la virtualizzazione sono perfettamente compatibili. Questo punto taglia fuori molti tentativi inutili: se stai lavorando su Home, non c’è un interruttore nascosto da attivare.

Il secondo vincolo è la versione del sistema. Windows Sandbox è arrivata con Windows 10 versione 1903 e successive. Se il sistema è più vecchio, la casella non compare proprio nella finestra delle funzionalità facoltative. Vale la pena verificarlo subito con winver, perché su ambienti aziendali capita ancora di trovare build ferme per policy o per ritardo negli aggiornamenti.

Infine c’è il lato hardware: servono virtualizzazione abilitata nel firmware e supporto a tecnologie come SLAT. Nella pratica, quasi tutti i PC recenti sono idonei, ma la virtualizzazione può restare disattivata nel BIOS/UEFI. È il classico caso in cui Windows sembra “capriccioso” mentre in realtà manca un prerequisito elementare.

Verifica rapida prima di toccare il sistema

Prima di installare o cercare workaround, conviene confermare tre cose: edizione, build e virtualizzazione. È il modo più veloce per evitare diagnosi sbagliate.

Per controllare la build, usa winver oppure apri Impostazioni > Sistema > Informazioni su. Se la release è precedente alla 1903, Sandbox non è prevista. Per l’edizione, la schermata “Informazioni su” mostra chiaramente se sei su Home, Pro, Enterprise o Education.

Per la virtualizzazione, apri Task Manager, scheda Prestazioni, sezione CPU: in basso a destra compare lo stato “Virtualizzazione: Abilitata” o “Disabilitata”. Se è disabilitata, il problema non è Windows ma il firmware o una policy di macchina. In alternativa puoi usare anche:

systeminfo

Nell’output cerca la parte relativa ai requisiti Hyper-V. Se vedi che la virtualizzazione è disabilitata nel firmware, non ha senso passare subito alle funzionalità opzionali: prima va corretto quel blocco.

Metodo corretto per attivarla da interfaccia grafica

La via più pulita è abilitare la funzionalità da Funzionalità di Windows. Il percorso è questo: Pannello di controllo > Programmi > Attiva o disattiva funzionalità di Windows. Qui va selezionata la voce Windows Sandbox.

In molti casi il sistema richiede anche i componenti di virtualizzazione sottostanti. Se la spunta di Sandbox non basta, controlla che siano presenti e attivi anche i servizi e i componenti correlati alla piattaforma virtuale. In particolare, se il sistema è “pulito” o è stato alleggerito con tool di debloating, alcune dipendenze possono essere state rimosse o disattivate.

Dopo la selezione, Windows installa i file necessari e richiede un riavvio. Qui non c’è molto da interpretare: se il riavvio è andato a buon fine, nel menu Start compare Windows Sandbox. L’avvio della finestra crea un ambiente separato, usa un’immagine di sistema temporanea e al termine elimina tutto. Quello che fai lì dentro non persiste, salvo eventuali file copiati fuori manualmente.

Abilitazione via PowerShell quando serve un controllo più preciso

Se stai gestendo più macchine, oppure vuoi lasciare traccia del cambiamento, la via PowerShell è più chiara. Il comando standard è questo:

Enable-WindowsOptionalFeature -Online -FeatureName Containers-DisposableClientVM -All

Il nome interno della feature è Containers-DisposableClientVM. L’opzione -All prova ad abilitare anche i componenti dipendenti. Il sistema può chiedere un riavvio, e va fatto: senza reboot la feature resta in uno stato incompleto.

Per verificare lo stato dopo l’attivazione usa:

Get-WindowsOptionalFeature -Online -FeatureName Containers-DisposableClientVM

Lo stato atteso è Enabled. Se resta Disabled o compare un errore, il problema è quasi sempre uno dei tre: edizione non compatibile, virtualizzazione disattivata nel firmware, oppure policy aziendale che blocca la funzionalità.

Errori tipici e come leggerli senza perdere tempo

Il messaggio più comune è il classico “la funzionalità non può essere installata” o una richiesta che parla di requisiti mancanti. Non va letto in modo generico: bisogna capire quale prerequisito manca davvero.

Se la tua edizione è Home, il problema è strutturale. Non c’è una procedura supportata per trasformare Home in Pro tramite un toggle della funzione. In questo caso la soluzione è passare a un’edizione compatibile, oppure usare alternative come una VM tradizionale o un ambiente isolato su Hyper-V se disponibile.

Se invece l’edizione è corretta ma Sandbox non si installa, guarda il BIOS/UEFI. Le etichette cambiano a seconda del vendor: Intel Virtualization Technology, VT-x, SVM su AMD. Se la virtualizzazione è off, Windows può anche mostrare la feature, ma non riuscirà a usarla. In questo caso il fix non è su Windows ma nel firmware, con riavvio obbligatorio.

Un altro caso frequente è il sistema aziendale con policy restrittive. Qui non conviene improvvisare: controlla se l’abilitazione delle funzionalità opzionali è bloccata da criteri di gruppo, da immagini standardizzate o da restrizioni nel management endpoint. Se la macchina è gestita, la domanda giusta non è “perché non funziona”, ma “chi la sta impedendo”.

Attivare la virtualizzazione nel firmware senza fare danni

La virtualizzazione va abilitata nel BIOS/UEFI del PC. Il percorso varia da produttore a produttore, quindi non esiste una sequenza universale. In generale bisogna entrare nel setup firmware all’avvio, cercare la voce relativa alla virtualizzazione CPU e impostarla su Enabled.

Qui il punto non è solo tecnico ma operativo: se stai lavorando su un portatile aziendale, questa modifica può essere bloccata da policy o richiedere password di amministrazione del firmware. Se non hai accesso al setup, fermati lì e chiudi il gap con chi gestisce la macchina. Forzare il resto non serve.

Dopo l’abilitazione, rientra in Windows e ricontrolla lo stato con Task Manager o con systeminfo. Solo quando la virtualizzazione risulta attiva ha senso riprovare l’installazione della feature. Questo passaggio evita di confondere un problema di firmware con un problema di Windows Update.

Cosa aspettarsi da una Sandbox funzionante

Una Sandbox attiva si comporta come un desktop pulito e temporaneo. Alla chiusura, tutto ciò che non hai esportato fuori scompare. È utile proprio per questo: non lascia tracce permanenti, non modifica il registro del sistema host e non eredita l’ambiente dell’utente in modo completo come farebbe una VM configurata ad hoc.

Il comportamento tipico è semplice: apri la Sandbox, l’ambiente si avvia in pochi secondi o minuti a seconda della macchina, poi puoi eseguire file o testare link in isolamento. Se vuoi portare dentro un file, puoi copiarlo e incollarlo oppure usare i meccanismi supportati dall’interfaccia. Se chiudi la finestra, il contenuto viene eliminato senza ulteriori passaggi.

Questo la rende adatta a scenari molto pratici: verifica rapida di installer, apertura di allegati, test di script non fidati, controllo di pacchetti scaricati da fonti esterne. Non è un sostituto di una strategia di sicurezza completa, ma è un ottimo strumento di contenimento tattico.

Limiti da conoscere prima di usarla come “ambiente di test”

Sandbox non è una VM general-purpose. Ha limiti precisi: niente persistenza tra un avvio e l’altro, configurazione ridotta rispetto a una macchina virtuale completa e integrazione controllata con l’host. Se devi testare servizi complessi, dipendenze di rete articolate o installazioni che richiedono stato persistente, una VM vera resta la scelta giusta.

Un altro aspetto da non sottovalutare è la performance. Sandbox usa risorse del sistema host e, se la macchina è stretta di RAM o CPU, l’esperienza degrada rapidamente. Se l’obiettivo è aprire un file ogni tanto, va bene; se vuoi tenerla accesa per ore con carichi pesanti, stai usando lo strumento sbagliato.

Per questo conviene ragionare per obiettivo: se ti serve isolamento rapido, Sandbox; se ti serve un laboratorio ripetibile, una VM. Mischiare i due casi porta solo a falsi problemi e a tempo perso.

Procedura sintetica consigliata

Se vuoi andare dritto al punto, l’ordine corretto è questo:

1. Verifica edizione e build con winver e schermata Informazioni su.
2. Controlla lo stato della virtualizzazione in Task Manager > Prestazioni > CPU.
3. Se la virtualizzazione è disattivata, abilitala nel BIOS/UEFI.
4. Attiva Windows Sandbox da Funzionalità di Windows oppure con PowerShell.
5. Riavvia e conferma la presenza della voce nel menu Start.

Se uno di questi passaggi fallisce, non saltare avanti a caso: fermati al livello che hai effettivamente verificato. È il modo più rapido per non trasformare una mancanza di prerequisiti in un problema apparentemente misterioso.

Quando non conviene insistere

Ci sono casi in cui la risposta corretta è “non si può su questa macchina”. Windows 10 Home, firmware bloccato, policy aziendali restrittive, hardware datato o configurazioni rimosse da tool aggressivi: in tutti questi scenari insistere con riparazioni casuali è tempo buttato.

Se il requisito è usare un ambiente isolato, valuta la strada alternativa più coerente con il contesto: aggiornamento a Pro, uso di Hyper-V dove disponibile, oppure una VM su host dedicato. Sandbox resta una funzione utile, ma non è un diritto acquisito su ogni installazione di Windows 10.

In pratica, il criterio giusto è questo: prima confermi i prerequisiti, poi attivi la feature, poi testi. Se uno dei prerequisiti manca, la soluzione non è “forzare” Windows, ma chiudere il gap alla fonte.