Cómo usar Windows Sandbox de forma segura: guía y configuración .wsb

La idea clave: aislamiento no significa riesgo cero

Windows Sandbox crea un entorno temporal y separado del Windows que utilizas habitualmente. Puedes abrirlo, instalar una aplicación, realizar pruebas y cerrarlo sin conservar los cambios realizados dentro. Es una herramienta muy práctica para comprobar un programa, abrir un instalador o experimentar con una configuración sin llenar el sistema principal de archivos y modificaciones.

Sin embargo, conviene empezar con una advertencia importante: una zona aislada no convierte automáticamente en seguro cualquier archivo. La máquina temporal sigue interactuando con determinados recursos del equipo anfitrión. En la configuración predeterminada puede disponer de conexión de red, compartir el portapapeles y utilizar recursos virtualizados. Si abres una muestra maliciosa con acceso a Internet, esta podría comunicarse con servidores externos, descargar componentes adicionales o atacar otros dispositivos accesibles desde tu red.

Por eso, aprender cómo usar Windows Sandbox de forma segura no consiste únicamente en activarlo y arrastrar un archivo a su escritorio. La parte importante es elegir qué conexiones necesita cada prueba y deshabilitar todo lo demás.

La configuración razonable depende del modelo de amenaza, es decir, de qué estás probando y qué podría salir mal:

• Programa conocido descargado desde su web oficial: puede bastar con verificar el archivo y ejecutarlo en una sesión temporal.
• Aplicación desconocida o de procedencia dudosa: es preferible desactivar red, portapapeles, periféricos y carpetas con escritura.
• Muestra que se sospecha que contiene malware: Windows Sandbox no sustituye a un laboratorio de análisis profesional. Es mejor usar una máquina virtual dedicada, una red aislada y herramientas específicas.
• Práctica docente: interesa una configuración reproducible que el alumnado pueda reiniciar, pero sin acceso innecesario a la red del centro ni a archivos personales.

Este enfoque encaja con una regla básica de seguridad activa informática: no esperar a que ocurra un incidente, sino reducir antes la superficie disponible para un ataque.

Qué es Windows Sandbox y qué separa del equipo principal

Windows Sandbox es un escritorio ligero y desechable proporcionado por Windows. Utiliza virtualización basada en hipervisor para ejecutar otra instancia del sistema operativo en un entorno separado del anfitrión. Microsoft aprovecha archivos del propio sistema mediante tecnologías de imagen dinámica, por lo que no necesitas descargar e instalar manualmente una segunda copia completa de Windows como sucede en muchas máquinas virtuales tradicionales.

Cuando inicias Windows Sandbox obtienes un escritorio limpio. Los programas, documentos y cambios creados dentro de esa sesión desaparecen al cerrarla. La siguiente apertura comienza de nuevo con un entorno limpio, salvo los recursos externos que decidas volver a compartir mediante una configuración.

Este carácter desechable aporta varias ventajas:

• Los cambios del registro realizados dentro no se aplican directamente al registro del anfitrión.
• Las aplicaciones instaladas en la sesión no permanecen después de cerrarla.
• Los archivos guardados únicamente en el disco temporal se eliminan junto con la sesión.
• Permite repetir una prueba desde un punto limpio con muy poco esfuerzo.
• No necesitas mantener manualmente instantáneas de una máquina virtual para usos sencillos.

Aun así, no debes interpretar ese aislamiento como una frontera absoluta. Hay varias vías de interacción controladas entre ambos entornos:

• La red virtual puede proporcionar conectividad al sandbox.
• El portapapeles puede permitir copiar información entre anfitrión e invitado.
• Es posible mapear carpetas del equipo principal.
• Pueden redirigirse determinados dispositivos, como entrada de audio, vídeo o impresoras.
• La GPU puede virtualizarse para mejorar el rendimiento gráfico.

Cada vía que habilitas facilita el trabajo, pero también amplía las posibilidades de comunicación. La configuración más segura no es siempre la que lo desactiva absolutamente todo, sino la que habilita solo los recursos imprescindibles para completar la prueba.

Requisitos para utilizar Windows Sandbox

Antes de buscar la función en el menú de Windows, comprueba que tu sistema cumple los requisitos indicados por Microsoft. Windows Sandbox no está disponible en todas las ediciones ni funciona si la virtualización necesaria está deshabilitada.

Los requisitos fundamentales son:

• Una edición compatible de Windows. Microsoft documenta la función para determinadas ediciones profesionales, educativas y empresariales de Windows 10 y Windows 11; no está incluida de forma ordinaria en la edición Home.
• Arquitectura de 64 bits compatible.
• Virtualización de hardware activada en el firmware UEFI o BIOS.
• Al menos dos núcleos de procesador, aunque cuatro núcleos con multithreading ofrecen una experiencia más fluida.
• Un mínimo de 4 GB de memoria RAM, con 8 GB o más como recomendación práctica.
• Espacio libre en disco, preferiblemente sobre una unidad SSD.

Como estos requisitos pueden cambiar entre versiones y arquitecturas, es recomendable contrastarlos en la descripción oficial de Windows Sandbox antes de desplegarlo en muchos equipos.

Cómo comprobar la edición y la versión de Windows

Pulsa Windows + R, escribe winver y presiona Intro. La ventana mostrará la edición y versión instaladas. También puedes abrir Configuración > Sistema > Acerca de y consultar el apartado de especificaciones de Windows.

Si utilizas Windows Home y la característica no aparece, no conviene descargar scripts no oficiales que prometan “instalar Windows Sandbox” modificando componentes internos. En ese caso resulta más prudente recurrir a una máquina virtual compatible, actualizar legítimamente la edición de Windows o utilizar otro entorno de pruebas reconocido.

Cómo comprobar si la virtualización está habilitada

Abre el Administrador de tareas con Ctrl + Mayús + Esc, entra en Rendimiento y selecciona CPU. En la información del procesador debería aparecer el estado de la virtualización.

Si figura como deshabilitada, tendrás que activarla desde el firmware UEFI o BIOS. El nombre varía según el fabricante y el procesador: puede aparecer como Intel Virtualization Technology, VT-x, AMD-V o SVM Mode. No cambies otras opciones del firmware si desconoces su finalidad.

En una máquina virtual, además, puede ser necesario habilitar la virtualización anidada. Este escenario es habitual en laboratorios, pero añade otra capa de complejidad y no todos los hipervisores o equipos la admiten de la misma manera.

Cómo activar y abrir Windows Sandbox

Si el equipo cumple los requisitos, la activación se realiza desde las características opcionales de Windows:

1. Abre el menú Inicio y busca Activar o desactivar las características de Windows.
2. Marca la casilla Windows Sandbox o Espacio aislado de Windows, según la traducción mostrada.
3. Pulsa Aceptar y espera mientras Windows instala los componentes necesarios.
4. Reinicia el equipo si el asistente lo solicita.
5. Busca Windows Sandbox en el menú Inicio y ejecútalo.

La primera apertura puede tardar algo más mientras Windows prepara el entorno. Una vez iniciado, verás un escritorio independiente dentro de una ventana. No asumas que todo lo que aparece ahí está desconectado: antes de ejecutar una descarga dudosa conviene decidir si necesitas conexión a Internet, portapapeles y acceso a archivos del anfitrión.

El acceso directo del menú Inicio utiliza la configuración general. Para controlar de verdad la exposición es preferible crear archivos .wsb con perfiles diferentes.

Por qué la configuración predeterminada no es la más restrictiva

Windows Sandbox busca un equilibrio entre aislamiento y facilidad de uso. Para que resulte cómodo, determinadas funciones pueden estar disponibles de manera predeterminada. Dos de las más relevantes son la red y el portapapeles.

Riesgo de mantener la red habilitada

La red permite descargar instaladores, iniciar sesión en servicios o comprobar el comportamiento online de una aplicación. También permite que un programa malicioso intente comunicarse con su infraestructura de mando y control, descargue nuevas cargas o explore recursos alcanzables desde la red.

Desactivar la red no vuelve inofensivo el archivo, pero limita una capacidad muy importante. Para una primera observación de un ejecutable que ya has copiado al entorno, la decisión prudente suele ser comenzar sin red. Si posteriormente necesitas comprobar su comportamiento conectado, hazlo en un laboratorio preparado para controlar y registrar ese tráfico.

Riesgo del portapapeles compartido

El portapapeles facilita copiar comandos, enlaces y texto entre ambos sistemas. El problema aparece si contiene una contraseña, una clave API, información de clientes, datos personales o un comando sensible. Un proceso ejecutado dentro del sandbox podría intentar acceder al contenido disponible en ese canal.

No copies contraseñas ni secretos a una sesión donde estés evaluando software desconocido. Cuando el portapapeles no sea imprescindible, desactívalo en el archivo de configuración.

Carpetas compartidas con permiso de escritura

Una carpeta mapeada conecta directamente un directorio del anfitrión con Windows Sandbox. Si la compartes con escritura, los procesos del entorno pueden modificar, cifrar, eliminar o sustituir archivos de esa ubicación.

Para introducir un instalador en el sandbox, normalmente basta con una carpeta en modo de solo lectura. Si necesitas extraer resultados, utiliza otra carpeta vacía destinada específicamente a la prueba, revisa sus archivos antes de abrirlos en el anfitrión y elimínala cuando ya no sea necesaria.

Qué es un archivo .wsb y cómo crearlo

Un archivo .wsb es un documento de texto con formato XML que indica a Windows Sandbox qué recursos debe habilitar. Puede controlar la red, el portapapeles, las carpetas compartidas, la memoria, la GPU virtual, determinados periféricos y el comando que se ejecuta al iniciar sesión.

Para crear uno:

1. Abre el Bloc de notas.
2. Escribe la configuración dentro de una etiqueta raíz <Configuration>.
3. Selecciona Archivo > Guardar como.
4. En tipo de archivo, elige Todos los archivos.
5. Utiliza un nombre como sandbox-seguro.wsb.
6. Guárdalo y ábrelo con doble clic.

La estructura mínima tiene este aspecto:

<Configuration>
  <Networking>Disable</Networking>
  <ClipboardRedirection>Disable</ClipboardRedirection>
</Configuration>

Las etiquetas y valores deben estar correctamente escritos. Un error de sintaxis puede impedir que se abra el archivo o provocar que una opción no se aplique como esperabas. Microsoft mantiene la lista de parámetros y ejemplos en su documentación de archivos WSB.

Configuración .wsb recomendada para una primera prueba

El siguiente perfil desactiva la red, el portapapeles, la entrada de audio, la entrada de vídeo, las impresoras y la GPU virtual. También monta una carpeta del anfitrión en modo de solo lectura. Debes sustituir la ruta de ejemplo por una carpeta real de tu equipo:

<Configuration>
  <Networking>Disable</Networking>
  <ClipboardRedirection>Disable</ClipboardRedirection>
  <AudioInput>Disable</AudioInput>
  <VideoInput>Disable</VideoInput>
  <PrinterRedirection>Disable</PrinterRedirection>
  <VGpu>Disable</VGpu>
  <ProtectedClient>Enable</ProtectedClient>
  <MemoryInMB>4096</MemoryInMB>
  <MappedFolders>
    <MappedFolder>
      <HostFolder>C:\Sandbox\Entrada</HostFolder>
      <SandboxFolder>C:\Entrada</SandboxFolder>
      <ReadOnly>true</ReadOnly>
    </MappedFolder>
  </MappedFolders>
</Configuration>

Antes de dar esta configuración por válida en tu equipo, comprueba que la sesión se inicia y revisa cada recurso. Las opciones disponibles pueden depender de la versión de Windows y algunas funciones reforzadas pueden tener limitaciones de compatibilidad.

Este perfil es adecuado como punto de partida para observar un instalador que ya has descargado. No sirve para analizar comunicaciones de red porque, precisamente, las bloquea. Tampoco permite guardar resultados directamente en la carpeta de entrada.

Cómo desactivar la red

La directiva correspondiente es:

<Networking>Disable</Networking>

Úsala cuando el programa pueda ejecutarse sin conexión. Es especialmente aconsejable en una primera prueba de archivos desconocidos, documentos con comportamiento activo o herramientas que no deberían necesitar Internet.

Si la aplicación exige acceso a un servidor para instalarse, autenticarse o funcionar, tendrás que valorar si Windows Sandbox es el laboratorio adecuado. Habilitar Internet únicamente para que “el programa arranque” puede dar a una amenaza justo el canal que necesita.

Cómo desactivar el portapapeles

<ClipboardRedirection>Disable</ClipboardRedirection>

Con esta opción pierdes comodidad al copiar texto entre ventanas, pero reduces el riesgo de exponer información que estuviera en el portapapeles del anfitrión. Prepara de antemano los comandos no confidenciales en un archivo de texto dentro de la carpeta compartida de solo lectura.

Cómo compartir una carpeta en modo de solo lectura

<MappedFolders>
  <MappedFolder>
    <HostFolder>C:\Sandbox\Entrada</HostFolder>
    <SandboxFolder>C:\Entrada</SandboxFolder>
    <ReadOnly>true</ReadOnly>
  </MappedFolder>
</MappedFolders>

La etiqueta HostFolder indica la carpeta real del equipo. SandboxFolder establece dónde aparecerá dentro del entorno. El valor true de ReadOnly evita que la sesión modifique directamente el contenido compartido.

No compartas Descargas, Documentos, el perfil completo del usuario, carpetas sincronizadas con la nube ni repositorios de trabajo. Crea un directorio específico como C:\Sandbox\Entrada y coloca únicamente el archivo necesario.

Cuándo desactivar GPU, audio, vídeo e impresoras

La regla general consiste en desactivar cualquier recurso que no contribuya a la prueba. No todos estos canales representan el mismo nivel de riesgo, pero cada uno aumenta la interacción con el equipo anfitrión.

GPU virtual

La opción VGpu permite controlar el uso de gráficos virtualizados:

<VGpu>Disable</VGpu>

Desactivarla reduce la exposición de la pila gráfica y es razonable si vas a probar un instalador, una utilidad sencilla o un programa que no necesita aceleración. Si necesitas evaluar software 3D, edición de vídeo o una aplicación que depende de aceleración gráfica, tendrás que valorar el equilibrio entre funcionalidad y aislamiento.

Entrada de audio y vídeo

<AudioInput>Disable</AudioInput>
<VideoInput>Disable</VideoInput>

Estas opciones evitan redirigir micrófono y cámara cuando no son necesarios. Un instalador común no debería necesitarlos. Si una supuesta calculadora, conversor o herramienta de compresión solicita acceso a la cámara o al micrófono, esa petición merece una revisión adicional.

Impresoras

<PrinterRedirection>Disable</PrinterRedirection>

La redirección de impresoras solo debería habilitarse cuando la prueba consista precisamente en verificar una función de impresión. En el resto de casos no aporta nada y puede revelar información sobre dispositivos o colas configuradas.

Protected Client y memoria asignada

ProtectedClient añade una capa adicional de aislamiento mediante AppContainer. Se activa así:

<ProtectedClient>Enable</ProtectedClient>

Es una opción interesante para endurecer el entorno, aunque puede introducir incompatibilidades. Comprueba que la aplicación que quieres probar sigue funcionando y revisa la documentación oficial de la versión instalada. No conviene presentar Protected Client como una garantía contra cualquier escape del sandbox: es una medida de defensa en profundidad, no una promesa de invulnerabilidad.

La memoria se establece en megabytes:

<MemoryInMB>4096</MemoryInMB>

Asignar más memoria no mejora el aislamiento. Solo proporciona recursos adicionales al entorno. Reserva una cantidad compatible con la aplicación, pero deja suficiente RAM para que el anfitrión continúe funcionando con normalidad. En un equipo con 8 GB totales, dedicar una cantidad excesiva puede provocar lentitud; en un sistema con más memoria puedes ampliar el valor si la prueba lo requiere.

Flujo seguro para probar una descarga

La mejor configuración técnica pierde valor si el archivo entra sin ninguna comprobación. Un flujo sensato combina procedencia, integridad, aislamiento y observación.

1. Descarga desde el origen legítimo

Busca la web oficial del fabricante o el repositorio original del proyecto. No confíes automáticamente en un resultado patrocinado, una página de descargas que reempaqueta instaladores o un enlace recibido por correo. Revisa cuidadosamente el dominio y evita clones con nombres muy parecidos.

Windows Sandbox no compensa una mala procedencia. Si puedes obtener el mismo programa desde una fuente primaria, no tiene sentido asumir el riesgo añadido de una copia desconocida.

2. Comprueba la firma y el hash

Si el proveedor publica una suma SHA-256, calcula el hash del archivo y compara ambos valores. Puedes seguir esta guía para comprobar SHA256 en Windows mediante PowerShell o CertUtil.

Una coincidencia confirma que el archivo tiene el mismo contenido que el asociado al hash publicado, pero no demuestra por sí sola que el programa sea seguro. Si una web comprometida ofrece a la vez un archivo malicioso y su hash, ambos coincidirán. Por eso hay que combinar integridad, origen, firma digital y reputación.

Para revisar la firma, abre las propiedades del archivo y busca la pestaña Firmas digitales. La ausencia de firma no implica necesariamente malware —muchos proyectos pequeños no firman sus binarios—, pero una firma válida de un editor esperado aporta una señal adicional.

3. Prepara una carpeta de entrada limpia

Crea C:\Sandbox\Entrada, elimina cualquier archivo anterior y copia solo el elemento que vas a evaluar. No utilices tu carpeta Descargas completa. Si vas a probar varios archivos, hazlo en sesiones separadas para poder atribuir mejor cada comportamiento.

4. Abre un perfil sin red y con lectura exclusiva

Inicia el archivo .wsb restrictivo, no el acceso directo genérico. Comprueba dentro del entorno que la carpeta compartida no admite escritura y que no existe conectividad. Realiza estas verificaciones antes de abrir el archivo sospechoso.

5. Copia el archivo al disco temporal

Aunque la carpeta esté montada como solo lectura, copia el instalador desde C:\Entrada al escritorio del sandbox y ejecútalo desde allí. De este modo podrá crear archivos temporales dentro del entorno sin necesitar permisos de escritura sobre la carpeta del anfitrión.

6. Observa antes de aceptar

Lee los avisos del instalador. Fíjate en solicitudes inesperadas de privilegios, intentos de instalar componentes adicionales, cambios de navegador, servicios nuevos o peticiones de habilitar recursos que no parecen relacionados con la finalidad del programa.

Puedes utilizar el Administrador de tareas, revisar procesos y observar qué archivos crea la aplicación. Esta observación básica no equivale a un análisis forense. Algunas amenazas retrasan su actividad, detectan entornos virtualizados o funcionan únicamente cuando tienen conexión.

7. No introduzcas credenciales reales

No inicies sesión con tu cuenta personal, profesional o educativa para “ver si funciona”. Tampoco pegues claves API, contraseñas, cookies, tokens ni documentos reales. Si la prueba requiere una cuenta, utiliza credenciales específicamente creadas para laboratorio y sin acceso a información importante.

8. Cierra y confirma la eliminación

Cuando termines, cierra Windows Sandbox. El sistema te advertirá de que se eliminará el contenido de la sesión. Después revisa las carpetas compartidas y elimina los archivos de prueba que ya no necesites.

Si has permitido una carpeta con escritura, no abras directamente en el anfitrión los resultados producidos por el programa. Trátalos como potencialmente inseguros y analízalos antes.

Qué desaparece al cerrar y qué puede permanecer

Al cerrar la ventana se elimina el estado interno de esa sesión: aplicaciones instaladas, archivos almacenados solo dentro, cambios de configuración y modificaciones del registro invitado. La próxima apertura comienza con un entorno nuevo.

Sin embargo, pueden permanecer efectos fuera del disco temporal:

• Archivos escritos en una carpeta compartida con permiso de escritura.
• Datos enviados a Internet mientras la red estaba habilitada.
• Cambios efectuados en servicios externos después de iniciar sesión.
• Documentos enviados a una impresora redirigida.
• Información copiada al portapapeles compartido.
• Acciones contra otros dispositivos de la red.

La destrucción de la sesión no puede deshacer una contraseña revelada, un archivo enviado a un servidor o la modificación de una carpeta externa. Esa es la razón por la que el modelo de permisos debe definirse antes de ejecutar el programa.

Perfiles .wsb para casa, docencia y trabajo profesional

Uso doméstico

Para probar un programa conocido, crea un perfil sin portapapeles y con una carpeta de entrada en solo lectura. Empieza sin red. Si confirmas que el instalador procede del fabricante y necesita descargar componentes, puedes crear un segundo perfil con red, pero continúa sin compartir carpetas personales.

Entorno docente

En clase interesa que todas las personas partan de la misma configuración. Un archivo .wsb permite repartir un laboratorio reproducible con una carpeta de materiales de solo lectura y recursos limitados.

Como profesor de FP de Informática en módulos relacionados con Seguridad Informática y Sistemas Operativos en Red, considero especialmente importante separar dos objetivos que el alumnado suele mezclar: hacer funcionar una práctica y construir un entorno adecuado para hacerla. El archivo puede ejecutarse correctamente y, aun así, el laboratorio estar mal planteado si comparte carpetas personales, credenciales o la red completa del centro.

Para ejercicios que necesitan conectividad, es preferible utilizar servicios de laboratorio expresamente preparados y cuentas temporales. El alumnado no debería emplear credenciales personales dentro de una muestra o aplicación que está siendo evaluada.

Uso profesional

En una empresa deben intervenir además las políticas corporativas, la clasificación de la información y el equipo de seguridad. No pruebes software desconocido en un ordenador que maneje datos de clientes, credenciales administrativas o acceso privilegiado a la red.

Windows Sandbox puede servir para una comprobación rápida de aplicaciones de bajo riesgo, pero no sustituye a un sistema de análisis de malware, un EDR, la revisión de proveedores ni un proceso formal de aprobación de software. Tampoco debe utilizarse para eludir políticas internas.

Errores habituales al usar Windows Sandbox

“No aparece Windows Sandbox”

Comprueba la edición de Windows, las actualizaciones instaladas y la virtualización del procesador. Si utilizas una edición Home, la función puede no estar incluida. Evita instaladores y scripts de fuentes desconocidas que prometan habilitarla por métodos no admitidos.

“No se puede iniciar Windows Sandbox”

Reinicia el equipo después de activar la característica y comprueba que la virtualización figure como habilitada. Si el sistema está dentro de otra máquina virtual, revisa la virtualización anidada. También pueden interferir configuraciones del hipervisor, directivas corporativas o componentes dañados.

Microsoft mantiene una guía oficial de solución de problemas de Windows Sandbox con errores y comprobaciones actualizadas.

El archivo .wsb se abre como texto

Asegúrate de que la extensión real sea .wsb y no .wsb.txt. Activa la visualización de extensiones en el Explorador de archivos y vuelve a guardarlo eligiendo “Todos los archivos”.

La carpeta compartida no aparece

Verifica que la ruta de HostFolder exista, que esté bien escrita y que el usuario tenga permiso para acceder a ella. Revisa también el cierre de las etiquetas XML. No uses una ruta ficticia copiada directamente de un ejemplo.

El programa no funciona sin Internet

Eso no significa que debas habilitar la red sin más. Comprueba primero si el fabricante ofrece un instalador completo u offline. Si realmente necesita conectividad, decide si confías suficientemente en la aplicación y utiliza una red de laboratorio cuando el nivel de riesgo lo justifique.

El antivirus no detecta nada, así que parece seguro

La ausencia de detección no es una garantía. Las amenazas nuevas, modificadas o basadas en herramientas legítimas pueden no generar una alerta inmediata. El fileless malware, por ejemplo, puede apoyarse en procesos y componentes del sistema sin comportarse como un ejecutable malicioso tradicional.

Cuándo utilizar una máquina virtual completa

Windows Sandbox destaca por su sencillez y rapidez, pero no es la herramienta correcta para todos los escenarios. Una máquina virtual completa resulta más apropiada cuando necesitas:

• Conservar el estado entre sesiones.
• Crear instantáneas antes y después de una prueba.
• Instalar otro sistema operativo o una versión concreta.
• Configurar varias interfaces y segmentos de red.
• Capturar tráfico de forma controlada.
• Usar herramientas avanzadas de depuración y análisis.
• Simular varios servidores y clientes.
• Analizar malware con un nivel de riesgo elevado.

En ese caso puedes ampliar conceptos en la guía sobre virtualización y máquinas virtuales. Para una muestra realmente peligrosa, incluso una máquina virtual doméstica puede resultar insuficiente si está conectada a la misma red, comparte carpetas o contiene credenciales.

Un laboratorio profesional puede incorporar redes sin salida, simulación de servicios, monitorización, restauración mediante instantáneas y equipos sin acceso a información de producción. La facilidad de Windows Sandbox no debe llevarnos a utilizarlo fuera de su ámbito razonable.

Checklist para usar Windows Sandbox de forma segura

• He obtenido el archivo desde el sitio oficial o el repositorio original.
• He revisado el dominio y evitado anuncios o clones sospechosos.
• He comprobado el hash si el proveedor publica uno.
• He revisado la firma digital cuando existe.
• He creado una carpeta de entrada específica y sin documentos personales.
• La carpeta está compartida en modo de solo lectura.
• La red está desactivada si la prueba no la necesita.
• El portapapeles está desactivado.
• La cámara, el micrófono, las impresoras y la vGPU están desactivados si no son necesarios.
• No voy a introducir credenciales ni datos reales.
• He elegido Windows Sandbox solo si el riesgo encaja con sus capacidades.
• Al terminar cerraré la sesión y revisaré cualquier carpeta externa utilizada.

En definitiva, cómo usar Windows Sandbox de forma segura depende menos de abrir una ventana aislada y más de controlar sus conexiones. Un archivo .wsb con red y portapapeles desactivados, carpetas de solo lectura y periféricos limitados ofrece un punto de partida mucho más prudente que la configuración genérica.

Windows Sandbox es excelente para pruebas rápidas y desechables. No es una garantía de riesgo cero ni un laboratorio avanzado de malware. Utilízalo como una capa adicional dentro de un proceso que también tenga en cuenta la procedencia de la descarga, su integridad, los permisos concedidos y la información que podría quedar expuesta.

Preguntas frecuentes sobre Windows Sandbox

¿Windows Sandbox protege completamente frente al malware?

No. Aísla buena parte de la ejecución y elimina la sesión al cerrarse, pero puede compartir red, portapapeles, carpetas y dispositivos. Además, ninguna tecnología compleja debe considerarse invulnerable.

¿Puedo abrir un virus en Windows Sandbox?

No es recomendable utilizarlo como laboratorio para malware peligroso. Para muestras maliciosas confirmadas conviene un entorno especializado, sin conexión a redes reales y administrado por personal con experiencia.

¿Los archivos permanecen después de cerrar?

Los archivos guardados únicamente dentro del sandbox desaparecen. Los escritos en carpetas compartidas externas pueden permanecer, al igual que los datos enviados por red o a servicios externos.

¿Debo desactivar siempre Internet?

Desactívalo cuando no sea necesario, especialmente durante una primera prueba. Si la aplicación requiere conexión, valora su procedencia y el nivel de riesgo antes de habilitarla.

¿Una carpeta de solo lectura es totalmente segura?

Reduce el riesgo de modificación directa, pero revela al entorno el contenido de los archivos compartidos. Incluye únicamente el instalador o material imprescindible y evita documentos personales.

¿Windows Sandbox funciona en Windows Home?

La característica oficial no está incluida normalmente en Windows Home. Comprueba las ediciones compatibles en la documentación vigente de Microsoft y evita modificaciones no oficiales del sistema.