Alvise C. Indice dei Contenuti
Aggiornato al 14 ottobre 2026.
Hai scaricato un programma e Windows ne impedisce l’avvio, indicando che Smart App Control ha bloccato un’app non attendibile? Il messaggio può comparire anche con software legittimo. .
Smart App Control, abbreviato SAC e chiamato anche Controllo intelligente delle app, è una funzione di Windows 11 che controlla l’esecuzione del codice combinando servizi di valutazione Microsoft e integrità del codice. Non si limita quindi a chiederti se vuoi aprire un file: può impedirne l’esecuzione.
In questa guida vediamo come funziona, dove si configura, cosa significano i tre stati disponibili e come analizzare un blocco. C’è anche una novità importante: gli aggiornamenti recenti consentono di riattivarlo senza reinstallare Windows sui dispositivi per cui la funzione è disponibile.
Che cos’è Smart App Control e a cosa serve
L’obiettivo è ridurre l’esecuzione di codice non attendibile prima che possa svolgere le proprie attività sul computer. Microsoft descrive SAC come una combinazione tra servizi di intelligence sulle applicazioni e le funzionalità di integrità del codice di Windows.
Il termine “app” non deve far pensare soltanto al programma con un’icona sul desktop. Un’installazione può coinvolgere eseguibili, librerie DLL, script, componenti temporanei e disinstallatori. Microsoft raccomanda agli sviluppatori di considerare e firmare l’intera catena del software.
Questo spiega un caso frequente nella diagnosi: l’installer principale si apre, ma un componente che tenta di avviare viene bloccato. Per capire il problema occorre identificare il file coinvolto, invece di dedurre che l’intero pacchetto sia necessariamente dannoso.
Come decide quali programmi possono essere eseguiti
La logica generale descritta nelle FAQ Microsoft è questa:
- Il servizio di sicurezza basato sul cloud valuta l’app.
- Se la ritiene sicura, SAC ne permette l’esecuzione.
- Se la considera dannosa o potenzialmente indesiderata, la blocca.
- Se la valutazione non è sufficientemente certa, controlla la firma digitale; una firma valida può consentire l’avvio, mentre codice sconosciuto e privo di una firma valida viene bloccato.
Una firma digitale permette di verificare il produttore e l’integrità del file. Non significa che qualsiasi software firmato debba essere considerato innocuo: firma, reputazione e classificazione di sicurezza sono elementi differenti. La documentazione sul controllo delle applicazioni precisa che il codice determinato come non sicuro viene bloccato.
Anche l’assenza di firma va interpretata correttamente. Un piccolo programma scritto da uno sviluppatore indipendente può essere legittimo e non firmato. Il blocco, da solo, non dimostra la presenza di un virus; indica che il codice non ha soddisfatto i controlli richiesti.
Per esempio, un’utility appena compilata e distribuita a pochi utenti può non avere ancora una reputazione sufficiente. Prima di cambiare le protezioni del PC, è utile verificare provenienza, versione e firma con chi la distribuisce.
Smart App Control, SmartScreen e antivirus: le differenze
I nomi sono simili, ma le funzioni non sono intercambiabili.
| Protezione | Compito principale | Come interpretare il suo intervento |
|---|---|---|
| Smart App Control | Controllare l’esecuzione di codice in base ad affidabilità e criteri | Può impedire l’avvio senza offrire un’eccezione per la singola app |
| Microsoft Defender SmartScreen | Valutare siti, download e applicazioni attraverso la reputazione | Può mostrare avvisi per contenuti pericolosi o con reputazione insufficiente |
| Antivirus | Rilevare e gestire malware attraverso i propri motori e controlli | Va mantenuto attivo anche quando si usa il controllo delle applicazioni |
| App Control for Business | Applicare criteri di esecuzione definiti dall’organizzazione | Consente una gestione aziendale del software ammesso |
SmartScreen comprende protezioni contro phishing e siti pericolosi, oltre a verifiche su file scaricati e relative firme. SAC è invece un controllo di esecuzione basato sulle tecnologie di App Control.
SAC non sostituisce l’antivirus. La sua presenza non è un motivo per disattivare Microsoft Defender o un antivirus di terze parti.
Quando segnali un problema, riporta il nome esatto della protezione nel messaggio. “Windows ha bloccato il file” non basta per scegliere la procedura giusta. Un avviso SmartScreen e un blocco SAC vanno diagnosticati separatamente.
Disponibilità e requisiti: cosa controllare oggi
Smart App Control è stato introdotto per gli utenti consumer a partire da Windows 11 versione 22H2. Non è disponibile su Windows 10.
Non bisogna confondere la disponibilità generale con lo stato sul singolo computer: una funzione presente in Windows può risultare disattivata, non disponibile oppure gestita diversamente in base alla configurazione.
Serve ancora un’installazione pulita?
Nelle prime versioni, SAC richiedeva una nuova installazione di Windows; la disattivazione impediva la normale riattivazione senza ripristino o reinstallazione.
Questa regola non va più presentata come universale. Le note dell’aggiornamento del 26 marzo 2026, KB5079391, per Windows 11 24H2 e 25H2, documentano l’avvio del rilascio della possibilità di attivare e disattivare SAC senza installazione pulita. Le FAQ Microsoft attuali confermano la possibilità sui dispositivi per cui è disponibile.
Il rilascio era indicato come graduale: citare la KB non significa garantire lo stesso comportamento su ogni configurazione. Alcune pagine Microsoft riportano ancora il requisito precedente. Per questa novità, le FAQ aggiornate e le note di rilascio sono il riferimento, insieme alle opzioni effettivamente mostrate sul PC.
Prima di valutare una reinstallazione:
- installa gli aggiornamenti Windows disponibili;
- controlla versione e build con Win+R > winver;
- riapri le impostazioni SAC;
- leggi l’eventuale messaggio che impedisce l’attivazione.
Non cercare una vecchia KB da installare a forza su un sistema già aggiornato: il numero serve a documentare l’introduzione della funzione.
Dove si trova e come controllare lo stato
Apri Start, cerca Sicurezza di Windows e seleziona:
Controllo delle app e del browser > Impostazioni di Controllo intelligente delle app.
Qui puoi verificare lo stato e le opzioni disponibili.
| Stato | Significato |
|---|---|
| Attivato | SAC applica i controlli e può bloccare il codice non attendibile |
| Valutazione | Windows osserva se la protezione è adatta al tuo utilizzo; SAC non blocca le app in questa fase |
| Disattivato | La protezione SAC non è operativa |
La valutazione può terminare con l’attivazione oppure con la disattivazione. Microsoft distingue inoltre il ritorno alla modalità di valutazione, che la relativa pagina continua a collegare al ripristino o alla reinstallazione, dalla nuova possibilità di riattivare SAC. Le due operazioni non vanno confuse. [4]
Perché Smart App Control risulta disattivato
Le FAQ citano, tra le possibili cause, gestione aziendale, modalità sviluppatore, disattivazione manuale, modalità S e impostazioni dei dati diagnostici facoltativi.
L’elenco aiuta a orientare la verifica, ma non è una ragione per cambiare tutto indiscriminatamente. Se il dispositivo è gestito dall’azienda, controlla con l’IT quale protezione applicativa sia stata scelta. Se sviluppi software, verifica se il blocco riguarda codice generato durante compilazione e test.
La sezione relativa ai dati diagnostici mantiene indicazioni legate alla configurazione iniziale accanto alle nuove possibilità di attivazione. Non è quindi corretto garantire che attivare oggi una sola opzione diagnostica risolva ogni caso.
Evita modifiche al Registro per forzare uno stato che l’interfaccia non permette: possono nascondere la causa e non sostituiscono una configurazione supportata.
Cosa fare quando SAC blocca un programma
La prima domanda utile è: quale file è stato bloccato e da dove proviene?
1. Conserva i dettagli del messaggio
Annota nome del file, percorso, produttore, versione e momento del blocco. Se il problema si verifica durante un’installazione, indica in quale fase avviene.
Sono informazioni utili per confrontare il file con quello distribuito dal produttore e per cercare l’evento corrispondente.
2. Verifica il pacchetto con il produttore
Controlla che il download provenga dal sito ufficiale e che sia disponibile una versione aggiornata. Se il produttore pubblica un hash del pacchetto, confrontalo con quello del file scaricato.
Questa verifica stabilisce se stai esaminando il pacchetto previsto; non equivale, da sola, a certificare che il software sia sicuro.
3. Controlla la firma digitale
Per una verifica tecnica puoi usare PowerShell:
Get-AuthenticodeSignature -LiteralPath 'C:\Percorso\programma.exe' |
Format-List Status, StatusMessage, SignerCertificateSostituisci il percorso con quello reale. Il comando legge le informazioni della firma e non esegue il programma. [9]
Un risultato Valid indica che la firma supera la verifica effettuata dal cmdlet; NotSigned segnala che non è stata rilevata una firma. Il risultato non costituisce un verdetto antivirus né riproduce tutte le decisioni di SAC.
4. Cerca il componente effettivamente bloccato
Se il setup è firmato, controlla se l’evento riguarda invece una DLL o un eseguibile temporaneo. Invia i dettagli al produttore: firmare soltanto il file iniziale può lasciare altri componenti fuori dalla catena di attendibilità prevista. [6]
5. Valuta la disattivazione soltanto dopo la diagnosi
Microsoft non offre attualmente un comando per autorizzare una singola app attraverso SAC. [2]
Disattivarlo significa rimuovere questo livello di controllo per il sistema, non soltanto per il programma che ti interessa. Prima di procedere, considera una versione aggiornata e firmata o un’alternativa equivalente.
Come disattivarlo e riattivarlo
Dalla pagina Impostazioni di Controllo intelligente delle app, seleziona Disattivato e conferma ciò che viene richiesto.
Per riattivarlo, torna alla stessa pagina e seleziona Attivato, se disponibile. Gli aggiornamenti recenti consentono la riattivazione senza installazione pulita sui dispositivi idonei.
Leggi però il messaggio del tuo sistema prima di confermare: su configurazioni che conservano il comportamento precedente, la riattivazione può richiedere interventi differenti.
Il criterio operativo è semplice: non disattivare per abitudine una protezione che sta funzionando e non promettere una riattivazione immediata senza verificare l’interfaccia del PC.
Diagnosi avanzata: Visualizzatore eventi e CiTool
Per amministratori e sviluppatori, Microsoft documenta i registri:
Registri applicazioni e servizi > Microsoft > Windows > CodeIntegrity > Operational.
Gli eventi 3077 riguardano i blocchi in modalità di imposizione; gli eventi 3076 sono associati all’audit. La modalità di valutazione standard di SAC, però, non registra normalmente questi eventi di audit: sono previsti criteri specifici per i test. [10]
Puoi inoltre elencare i criteri con:
citool.exe -lpMicrosoft associa VerifiedAndReputableDesktop alla modalità attiva e VerifiedAndReputableDesktopEvaluation alla valutazione, quando il criterio risulta applicato.
Controlla nome del criterio, file e orario: un evento CodeIntegrity può appartenere anche ad altre configurazioni di App Control. Il registro identifica file bloccati, ma non spiega necessariamente tutto il fallimento di un installer.
Raccogli le prove sul PC interessato prima di modificare i criteri. Per i test di audit, usa un ambiente dedicato e la procedura Microsoft collegata nelle fonti.
Cosa devono sapere gli sviluppatori
La firma va integrata nella distribuzione del prodotto: eseguibili, DLL, componenti del setup, script e disinstallatori devono essere considerati nei test.
La documentazione inglese aggiornata al 28 settembre 2026 indica il supporto a certificati di firma RSA ed ECC emessi da provider attendibili. Alcune traduzioni riportano ancora il vecchio limite relativo a ECC. È un altro dettaglio per cui occorre consultare documentazione aggiornata e verificare i sistemi destinatari.
Microsoft indica Artifact Signing tra gli strumenti per firmare le app e documenta anche l’uso di SignTool. Una firma autofirmata non va considerata automaticamente equivalente a quella emessa da un provider attendibile.
Nel piano di prova includi installazione, aggiornamento, avvio, funzioni che caricano componenti aggiuntivi e disinstallazione. Un’applicazione che parte correttamente non dimostra che tutte le sue operazioni siano compatibili.
Smart App Control in azienda
SAC offre un’impostazione orientata agli utenti consumer e a contesti con un insieme di applicazioni relativamente semplice. Un’organizzazione con software interno e requisiti specifici dovrebbe valutare App Control for Business.
Questa tecnologia permette di costruire criteri che includano le applicazioni aziendali. Microsoft mette a disposizione il criterio SAC come base di partenza, ma documenta adattamenti necessari: copiarlo senza modifiche non equivale a progettare una soluzione aziendale completa.
In pratica, un reparto IT dovrebbe inventariare il software, provare i criteri in audit, gestire le eccezioni necessarie e predisporre il recupero prima della distribuzione. Il vantaggio è conservare il controllo sull’esecuzione senza affidarsi alla disattivazione della protezione su ogni PC.
Limiti e domande frequenti
Un’app bloccata contiene sicuramente un virus?
No. Potrebbe essere dannosa, ma potrebbe anche mancare di elementi sufficienti per essere considerata attendibile. Il messaggio richiede una verifica del file.
Basta che l’antivirus non trovi nulla?
Un esito negativo della scansione è un’informazione utile, non una garanzia assoluta. Antivirus e controllo delle applicazioni valutano aspetti differenti.
Funziona soltanto con le app del Microsoft Store?
La funzione valuta codice e applicazioni attraverso reputazione e firma, non soltanto in base al negozio da cui sono stati ottenuti.
Serve un Copilot+ PC o un abbonamento AI?
SAC è una funzione di sicurezza di Windows 11. Le fonti citate non lo presentano come un servizio che richiede un abbonamento Copilot o un Copilot+ PC.
Posso fidarmi delle stesse decisioni quando sono offline?
La valutazione descritta da Microsoft comprende servizi cloud e controlli delle firme. Non è corretto promettere che ogni file riceva lo stesso verdetto in qualsiasi condizione di connessione. Per software necessario offline, verifica i flussi reali su un ambiente rappresentativo prima della distribuzione.
Rallenta il PC?
Le fonti qui utilizzate non forniscono una percentuale universale di impatto. Se noti rallentamenti, misura avvio, installazione e operazioni del programma interessato; non attribuire automaticamente qualsiasi lentezza a SAC.
Protegge da tutte le truffe online?
Non sostituisce la valutazione di link, richieste di pagamento o credenziali. Il fatto che un programma possa essere eseguito non garantisce l’affidabilità di ogni operazione compiuta al suo interno.
Conviene lasciarlo attivo?
Per un PC personale che utilizza applicazioni compatibili, SAC aggiunge un controllo utile prima dell’esecuzione. Se non interferisce con il lavoro, disattivarlo preventivamente offre poco vantaggio.
Per chi sviluppa o usa software specialistico, la scelta richiede più attenzione: occorre individuare i componenti coinvolti e verificare firma e compatibilità. In un ambiente aziendale, un criterio di App Control progettato per le applicazioni necessarie può offrire una gestione più adatta.
Quando compare un blocco, parti dal nome della protezione e dal file interessato. Questa diagnosi permette di chiedere una correzione al produttore o di prendere una decisione consapevole, evitando di trasformare ogni errore d’avvio in una disattivazione generale della sicurezza.
