Jedes Applet bekommt eine eigene Sandbox (einen „Sandkasten“) zugeteilt, in dem es ausgeführt wird („spielen“ kann), ohne Schaden anrichten zu können.Technisch gesehen ist die Sandbox ein Speicherbereich, den das Applet nicht verlassen kann. Von dort aus kann weder auf andere Speicherbereiche noch auf Betriebssystemfunktionen zugegriffen werden. Auch der freie Zugriff auf das Dateisystem ist nicht erlaubt.