<p>Déjà présent sur la plupart des postes professionnels, le bac à sable Windows ouvre en quelques secondes un Windows jetable et isolé, idéal pour...
Un fournisseur vous envoie une facture en pièce jointe, mais l'adresse d'expédition ne ressemble pas à l'habituelle. Un prospect partage un lien vers un « devis à télécharger ». Vous hésitez: ouvrir, ou ne pas ouvrir? Dans la plupart des entreprises, la réponse est soit un clic imprudent, soit un fichier qui reste en attente pendant trois jours.
Windows dispose depuis plusieurs années d'un outil qui répond exactement à ce besoin, et que très peu d'entreprises utilisent: le bac à sable Windows. Il est déjà présent sur la plupart de vos postes, gratuit, et s'active en quelques minutes. Le bac à sable Windows (Windows Sandbox) ouvre en quelques secondes une fenêtre contenant un Windows complet, entièrement neuf et isolé de votre poste. Vous y ouvrez le fichier suspect, vous cliquez sur le lien douteux, vous installez le logiciel dont vous n'êtes pas sûr.
À la fermeture de la fenêtre, tout disparaît: fichiers, logiciels installés, modifications du système. Le lancement suivant repart d'un Windows aussi propre qu'une installation neuve. L'isolation ne repose pas sur un simple cloisonnement logiciel mais sur la virtualisation matérielle: le bac à sable tourne sur un noyau séparé, via l'hyperviseur de Microsoft.
Contrairement à une machine virtuelle classique, il n'y a rien à installer, aucune licence Windows supplémentaire à prévoir, aucune image à maintenir. C'est une fonctionnalité intégrée à Windows. Ouvrir une pièce jointe dont on doute: une facture PDF, un document Word avec macros, une archive ZIP protégée par mot de passe. Vous voyez le contenu réel sans exposer votre poste. Visiter un lien suspect: le navigateur du bac à sable affiche la page. Si c'est un faux portail de connexion ou une page de téléchargement piégée, vous le constatez de l'extérieur.
Tester un logiciel avant déploiement: un utilitaire trouvé en ligne, un pilote, une version d'essai — sans polluer un poste de production ni laisser de traces dans le registre. Reproduire un problème dans un environnement propre: utile pour distinguer un bug applicatif d'un conflit avec un logiciel installé localement.
Former et sensibiliser: montrer à une équipe à quoi ressemble une vraie tentative d'hameçonnage, en direct et sans risque.
Vérifier que votre poste est compatible
Le bac à sable est inclus dans les éditions Pro, Entreprise et Éducation de Windows 10 (version 1903 ou ultérieure) et Windows 11. Il n'est pas disponible sur Windows Famille (Home) — un point à vérifier si votre parc comporte des machines achetées en grande distribution.
Les prérequis matériels sont modestes et couverts par tout poste professionnel récent: Processeur AMD64, ou Arm64 pour Windows 11 version 22H2 et ultérieure; Fonctions de virtualisation activées dans le BIOS/UEFI; 4 Go de RAM minimum, 8 Go recommandés; 1 Go d'espace disque libre, SSD recommandé; 2 cœurs de processeur minimum, 4 cœurs avec hyper-threading recommandés. Par l'interface graphique — la méthode la plus simple:
Dans la barre de recherche Windows, tapez Activer ou désactiver des fonctionnalités Windows. Cochez Bac à sable Windows dans la liste, puis validez par OK.
Redémarrez le poste si Windows le demande. Lancez Bac à sable Windows depuis le menu Démarrer.
Par PowerShell, pour un déploiement scripté sur plusieurs postes — dans une console ouverte en administrateur:
Enable-WindowsOptionalFeature -FeatureName "Containers-DisposableClientVM" -All -Online
Si la case « Bac à sable Windows » n'apparaît pas dans la liste, c'est en général que la virtualisation est désactivée dans le BIOS, ou que l'édition de Windows ne le prend pas en charge. La redirection du presse-papiers est active par défaut: vous copiez le fichier suspect depuis votre poste (Ctrl+C) et vous le collez directement dans la fenêtre du bac à sable (Ctrl+V). Pour un lien, copiez l'adresse et ouvrez-la dans le navigateur du bac à sable — n'utilisez pas le navigateur de votre poste.
Une fois l'examen terminé, fermez simplement la fenêtre. Windows demande confirmation avant de tout supprimer.
Le point de vigilance à connaître absolument
Par défaut, le bac à sable a accès au réseau. Microsoft le signale explicitement: cette configuration peut exposer des applications non approuvées à votre réseau interne. Un logiciel malveillant exécuté dans le bac à sable peut donc tenter de communiquer vers l'extérieur, ou de scanner votre réseau local.
Pour un usage d'analyse de fichiers douteux, il est donc préférable de créer un bac à sable durci. Cela se fait avec un fichier de configuration au format.wsb — un simple fichier texte que l'on double-clique pour lancer un bac à sable aux paramètres choisis.
Créez un fichier nommé par exemple analyse-isolee.wsb contenant:
<Configuration>
<Networking>Disable</Networking>
<ClipboardRedirection>Disable</ClipboardRedirection>
<AudioInput>Disable</AudioInput>
<VideoInput>Disable</VideoInput>
<PrinterRedirection>Disable</PrinterRedirection>
<ProtectedClient>Enable</ProtectedClient>
<MemoryInMB>4096</MemoryInMB>
</Configuration>
Avec le réseau et le presse-papiers désactivés, vous devrez transférer le fichier autrement — c'est le rôle de l'option MappedFolders, qui partage un dossier de l'hôte avec le bac à sable. Attention toutefois: cette option est celle qui affaiblit le plus l'isolation. Utilisez-la en lecture seule, sur un dossier dédié qui ne contient rien d'autre que le fichier à examiner. C'est un outil d'observation, pas un verdict de sécurité. Trois limites à garder en tête:
Il ne dit pas si un fichier est malveillant. Beaucoup de logiciels malveillants détectent qu'ils tournent dans un environnement virtualisé et restent inactifs. Un fichier qui « ne fait rien » dans le bac à sable n'est pas pour autant inoffensif. Il ne protège pas contre l'hameçonnage d'identifiants. C'est le contresens le plus fréquent: si vous saisissez votre mot de passe Microsoft 365 dans un faux portail affiché dans le bac à sable, le mot de passe part quand même chez l'attaquant. L'isolation protège la machine, pas vos identifiants. Ne vous connectez jamais à un compte professionnel depuis un bac à sable.
Ce n'est pas un environnement d'analyse professionnel. Rien n'est conservé, donc rien ne peut être analysé après coup. En cas d'incident réel, il faut préserver les traces, pas les effacer. Le bac à sable est un excellent outil pour votre référent informatique et pour les utilisateurs avancés. Pour l'ensemble des collaborateurs, le réflexe à maintenir reste le signalement: en cas de doute sur un message, on prévient l'informatique, on ne teste pas soi-même.
La combinaison qui fonctionne: les collaborateurs signalent, le référent informatique vérifie dans le bac à sable en quelques minutes, et la réponse revient dans la journée. Cela évite à la fois les clics à l'aveugle et la paralysie devant chaque pièce jointe.
Deux points à formaliser: préciser dans votre politique interne qui est autorisé à exécuter un fichier suspect, même en environnement isolé; et rappeler qu'un fichier confirmé malveillant doit être signalé, pas seulement supprimé — d'autres collaborateurs l'ont probablement reçu. Chez TICLIC, nous aidons les PME à activer et configurer le bac à sable Windows sur leur parc, à définir la procédure de signalement des messages suspects et à former les équipes à reconnaître les tentatives d'hameçonnage. Si vos collaborateurs n'ont aujourd'hui aucun moyen de vérifier une pièce jointe autrement qu'en l'ouvrant, c'est un angle mort simple à corriger.
- Microsoft Learn — Bac à sable Windows: présentation et configuration requise
- Cybermalveillance.gouv.fr — Fiche réflexe: hameçonnage
Article rédigé par TIA, l'assistant éditorial de TICLIC, et relu avant publication.