GrapheneOS : un téléphone qui ne témoigne pas contre vous

La plupart des conseils en matière de confidentialité vous demandent de modifier un paramètre. Celui-ci vous demande de remplacer le système d'exploitation de votre téléphone. C'est une demande importante, donc ce guide consacre autant de temps à ce que vous abandonnez qu'à ce que vous gagnez, et il vous dit clairement quand la réponse est ne vous embêtez pas.

01Ce que cela corrige réellement

Il est facile d'énumérer des fonctionnalités. Il est plus utile de partir des quatre façons dont un téléphone attire des ennuis à ses utilisateurs, et de voir comment chacune est traitée.

Menace : le téléphone vous est pris

À un checkpoint, lors d'une descente, à une frontière. Les outils d'extraction forensique vendus aux polices et aux services de renseignement du monde entier fonctionnent au mieux contre un téléphone allumé et déverrouillé au moins une fois depuis le démarrage, dans cet état une grande partie de vos données est déjà déchiffrée en mémoire et le système d'exploitation expose une large surface d'attaque. Un téléphone redémarré et pas encore déverrouillé est une cible bien plus difficile : les clés de chiffrement ne sont tout simplement pas là.

GrapheneOS s'attaque directement à ce problème :

• Redémarrage automatique. Si le téléphone n'est pas déverrouillé pendant une durée définie, il redémarre de lui-même dans cet état fortement chiffré d'avant déverrouillage. Configurable, et peut être réglé à dix minutes seulement. Un téléphone confisqué le matin et emmené dans un laboratoire l'après-midi arrive à froid.
• Code PIN de contrainte. Vous définissez un second code PIN ou mot de passe. Le saisir ressemble à une tentative de déverrouillage normale et efface à la place irrémédiablement l'appareil — partition de données et eSIM, en détruisant les clés. Cela fonctionne depuis l'écran de verrouillage et depuis partout où l'appareil demande votre identifiant.
• Contrôle du port USB. Le port peut être limité à la charge seule, ou désactivé entièrement, lorsque l'appareil est verrouillé. Les outils forensiques arrivent généralement par USB.
• Brouillage du code PIN et absence de piège de repli par empreinte digitale. La disposition du clavier peut être randomisée pour qu'un observateur par-dessus l'épaule ou une caméra au plafond ne puisse pas apprendre votre code PIN, et la gestion des tentatives échouées est plus stricte que sur Android standard.

Menace : les applications sur votre propre téléphone

Sur Android standard, une application qui peut lire votre stockage peut tout lire. Une application avec la permission contacts prend tout votre graphe social. Et toute application installée a automatiquement accès à internet — Android n'a jamais eu de permission pour le refuser.

• Permission réseau. GrapheneOS en ajoute une. Vous pouvez installer une application et simplement ne pas la laisser communiquer avec internet, une application appareil photo, un lecteur PDF, un nettoyeur de métadonnées, une carte hors ligne. Ce seul interrupteur élimine la plupart de la télémétrie d'emblée.
• Autorisation des capteurs. Bloque l'accéléromètre, le gyroscope, la boussole, le baromètre et les autres capteurs qu'Android expose sans aucune autorisation. Ces capteurs suffisent à établir une empreinte de l'appareil et, selon des recherches publiées, à déduire la frappe et les mouvements.
• Périmètres de stockage. Au lieu de refuser à une application l'accès au stockage et de la voir se briser, vous lui dites que le stockage est vide, puis accordez des fichiers ou dossiers individuels. L'application croit avoir un accès complet et ne voit que ce que vous avez choisi.
• Périmètres de contacts. La même astuce pour vos contacts. Une application de messagerie peut se voir présenter exactement trois personnes au lieu de tout votre carnet d'adresses.

Menace : Google lui-même

Sur un téléphone Android standard, les services Google Play s'exécutent avec un accès privilégié étendu intégré au système d'exploitation. Ils ne peuvent pas réellement être supprimés, restreints ou audités, et ils constituent une cible d'accès légal — Google reçoit et traite les demandes de géorepérage et de compte.

GrapheneOS est livré sans aucun code Google. Si vous avez besoin du Play Store, vous pouvez installer Google Play en bac à sable : les applications Google ordinaires, exécutées comme une application normale non privilégiée dans le profil de votre choix, soumises à toutes les autorisations ci-dessus, y compris l'interrupteur réseau. La plupart des applications qui nécessitent les services Play fonctionnent simplement. Google obtient ce que toute autre application obtient : ce que vous lui autorisez.

Menace : quelqu'un attaquant le téléphone à distance

Les logiciels espions mercenaires, la catégorie d'outils Pegasus/Predator, ont été utilisés à plusieurs reprises contre des journalistes et des défenseurs des droits humains dans cette région. Aucun téléphone n'est immunisé. Mais ces chaînes d'exploitation sont conçues et testées contre les systèmes d'exploitation d'origine, et GrapheneOS change le terrain sous leurs pieds : un allocateur de mémoire renforcé, un noyau et une libc renforcés, des mitigations de compilateur plus strictes et une réduction agressive de la surface d'attaque. Plusieurs chaînes d'exploitation documentées ont échoué contre lui de manière incidente, simplement parce que les hypothèses sur lesquelles l'exploit reposait n'étaient plus vraies.

02Pourquoi c'est réservé aux Pixel, et lequel acheter

L'exigence du Pixel frustre les gens, et ce n'est pas du favoritisme. Cela découle du point sur le démarrage vérifié ci-dessus. Les Google Pixel sont, en pratique, les seuls téléphones largement disponibles qui permettent à un système d'exploitation tiers de reverrouiller le chargeur d'amorçage avec sa propre clé et de conserver un démarrage vérifié complet et une attestation matérielle. Ils embarquent également un élément sécurisé dédié et bénéficient d'un support micrologiciel long et prévisible, et le micrologiciel est la seule couche qu'aucun projet de système d'exploitation ne peut corriger pour vous.

Acheter sans laisser de trace

Si votre modèle de menace inclut quelqu'un cherchant à établir que vous possédez un téléphone durci, l'achat est le point faible, pas l'appareil.

• Espèces, en personne, d'occasion est le plus propre. Vérifiez le statut de liste noire IMEI avant de payer.
• N'achetez pas de stock verrouillé ou de marque opérateur, certaines variantes d'opérateur ne peuvent pas du tout être déverrouillées pour l'installation.
• Achetez le téléphone et la SIM à des endroits différents, idéalement des jours différents.
• Un téléphone neuf scellé d'un grand détaillant payé en espèces convient aussi, et élimine toute inquiétude sur ce qu'un propriétaire précédent a pu y faire.

03Ce à quoi vous renoncez

Chaque guide qui saute cette section vous vend quelque chose. Voici la vraie liste.

04L'installer

L'installateur web officiel fait tout depuis un navigateur. C'est l'installation de système d'exploitation personnalisé la plus simple qui existe, et il est très difficile de casser définitivement un Pixel de cette façon ; une installation échouée peut être récupérée en recommençant.

1. Ayez les instructions officielles sous les yeux

   Ouvrez grapheneos.org/install/web et suivez-les en parallèle de cette page. Le guide officiel fait autorité et est tenu à jour ; celui-ci explique le raisonnement et les décisions que l'installateur ne prend pas pour vous. Tapez l'adresse à la main, ne passez pas par un moteur de recherche, où des domaines similaires achètent des publicités.

2. Utilisez un navigateur basé sur Chromium sur un ordinateur

   L'installateur nécessite WebUSB, donc Chrome, Edge, Vanadium ou équivalent. Firefox et Safari ne fonctionneront pas. Utilisez un câble USB-C de bonne qualité, celui fourni avec le téléphone est idéal. La plupart des échecs d'installation signalés sont dus à un mauvais câble ou à un hub défaillant, alors branchez directement sur la machine.

3. Activez les options pour les développeurs et déverrouillez le bootloader

   Sur le téléphone : Paramètres → À propos du téléphone → appuyez sept fois sur Numéro de build. Ensuite : Paramètres → Système → Options pour les développeurs → activez Déverrouillage OEM et Débogage USB.

   Si le déverrouillage OEM est grisé

   Le téléphone est verrouillé par l'opérateur, ou trop récent pour le compte. Connectez-le à internet et laissez-le un moment, ou résolvez le verrouillage opérateur. Ne forcez pas : un Pixel verrouillé par un opérateur peut ne pas être installable du tout, c'est pourquoi les conseils d'achat ci-dessus disent de les éviter.

4. Lancez l'installateur web

   Suivez la page dans l'ordre : déverrouiller le bootloader, télécharger la version, la flasher. Le navigateur vous demandera de sélectionner l'appareil — choisissez le Pixel quand la boîte de dialogue apparaît. Toute l'étape de flashage prend généralement dix à quinze minutes avec une bonne connexion. Ne le débranchez pas.

5. Verrouillez à nouveau le bootloader, ne sautez pas cette étape

   La dernière étape de l'installateur. La sauter laisse votre téléphone définitivement vulnérable à quiconque a un accès physique et jette l'une des principales raisons d'utiliser GrapheneOS. L'installateur ne vous laissera pas verrouiller une installation défectueuse, donc si la commande réussit, tout va bien.

6. Confirmez l'état de démarrage

   Au premier démarrage, vous devriez voir l'avis de démarrage vérifié jaune affichant la propre clé de signature de GrapheneOS, puis l'assistant de configuration. Le jaune avec la clé GrapheneOS est correct et attendu. Orange signifie que le bootloader est encore déverrouillé — revenez en arrière et verrouillez-le.

05La première heure : les réglages qui comptent

L'installer représente l'essentiel du travail, mais les réglages par défaut sont délibérément modérés pour que les gens ordinaires ne soient pas exclus de leur propre téléphone. Voici les changements qui valent la peine d'être faits immédiatement.

1. Définissez une vraie phrase de passe, pas un code PIN à 4 chiffres

   C'est la chose la plus importante de cette page. Toutes les autres protections reposent en fin de compte sur votre identifiant. Six mots aléatoires, ou un code PIN d'au moins huit chiffres. Activez le brouillage du code PIN pendant que vous y êtes.

2. Activez le redémarrage automatique et raccourcissez-le

   Paramètres → Sécurité. Choisissez une fenêtre qui correspond à votre vie. Si vous êtes dans une situation où la saisie est un risque réel, quelques heures ou moins. Le compromis est qu'après un redémarrage, les alarmes et les notifications n'arrivent pas avant que vous ne déverrouilliez, ce qui est précisément le but.

3. Restreignez le port USB lorsqu'il est verrouillé

   Paramètres → Sécurité → USB. Charge uniquement lorsqu'il est verrouillé au minimum ; entièrement désactivé si vous pouvez vivre avec.

4. Désactiver la 2G

   La 2G héritée a un chiffrement défaillant, et les IMSI catchers fonctionnent en forçant votre téléphone à y revenir. GrapheneOS vous permet de refuser. Il existe aussi un mode LTE uniquement. Désactivez la 2G sauf si vous êtes dans un endroit où il n'y a vraiment aucune autre couverture.

5. Décidez à propos de Google avant d'installer quoi que ce soit

   Si vous pouvez vivre sans le Play Store, faites-le — obtenez des applications depuis F-Droid, depuis Accrescent, ou directement auprès des développeurs, et profitez d'un téléphone sans aucun code Google. Si vous avez besoin des Play Services, installez Google Play en bac à sable depuis le dépôt d'applications intégré, mais placez-le dans un profil utilisateur secondaire, pas votre profil principal, afin qu'il soit isolé de votre travail sensible.

6. Faire fonctionner les applications avec Google Play en bac à sable

   Ouvrez l'application GrapheneOS Apps dans le profil où vous souhaitez utiliser une application, puis installez Google Play services. Cela installe à la fois les services Play et le Play Store. Installez l'application dans ce même profil : le Play en bac à sable ne peut pas fournir de services à une application située dans un autre profil. Maintenez les services Play, le Play Store et l'application à jour via l'application Apps et le Play Store.

   Si une application s'ouvre mais que la connexion, les notifications, les cartes, les achats ou l'actualisation en arrière-plan ne fonctionnent pas, vérifiez ces points avant de lui accorder un accès plus large :

   • Profil : confirmez que l'application et Google Play en bac à sable sont installés dans le même profil utilisateur.
   • Batterie : dans les paramètres de l'application Google Play services, autorisez-la à fonctionner sans optimisation de la batterie afin qu'elle puisse délivrer des notifications en arrière-plan. Faites de même pour l'application uniquement si elle en a encore besoin.
   • Autorisations de l'application : activez uniquement l'autorisation dont la fonctionnalité défaillante a besoin — le plus souvent Notifications, Localisation, Appareils à proximité, Appareil photo ou Fichiers. Commencez de façon restrictive, testez, puis ajoutez-en une autre seulement si nécessaire.
   • Localisation : accordez l'autorisation de localisation à l'application si elle a besoin de la localisation. La redirection de localisation par défaut de GrapheneOS suffit généralement ; ne modifiez les paramètres de localisation de Google que si l'utilisation ordinaire de la localisation échoue réellement.
   • Mises à jour et redémarrage : mettez à jour les trois composants, forcez la fermeture et rouvrez l'application, puis réinstallez-la si une mise à jour l'a bloquée.

   Un petit nombre d'applications rejettent GrapheneOS parce qu'elles exigent un verdict particulier d'intégrité de l'appareil. C'est une restriction du créateur de l'application, et non une autorisation manquante ; aucun paramètre ne doit être affaibli simplement pour la contourner.

7. Configurez des profils

   Les profils utilisateur séparés ont des clés de chiffrement séparées. Une séparation pratique :

   • Propriétaire, rien d'autre que la configuration. Vous l'utilisez rarement.
   • Personnel — la vie ordinaire, les Play Services si vous en avez besoin, les opérations bancaires, les cartes.
   • Travail — la documentation, Signal, l'appareil photo, l'archive. Pas de Google.

   Un profil auquel vous n'êtes pas connecté est au repos et chiffré. Vous pouvez aussi configurer les profils pour qu'ils mettent fin à leur session automatiquement lorsque vous en changez.

8. Auditez les permissions application par application

   Chaque application que vous installez : a-t-elle besoin d'internet ? De capteurs ? D'un accès réel au stockage, ou d'une portée contenant trois fichiers ? Partez du principe que non par défaut et activez les choses quand quelque chose casse visiblement. Cela prend vingt minutes une fois et rapporte en permanence.

9. Vérifiez que l'installation est authentique

   Installez l'application GrapheneOS Auditor et associez-la à un second appareil, ou utilisez le service d'attestation officiel. Elle confirme cryptographiquement que votre téléphone exécute un GrapheneOS authentique et non modifié avec un chargeur d'amorçage verrouillé, et peut continuer à le vérifier au fil du temps, ce qui vous permet de détecter une altération après que le téléphone a quitté votre vue.

06Ce dont il ne vous protège pas

Être clair là-dessus, c'est ce qui rend le reste du guide digne de confiance.

• Le réseau sait que vous existez. Votre opérateur voit toujours les antennes auxquelles vous vous connectez. C'est le fonctionnement même du réseau cellulaire. Seule la solution de laisser le téléphone derrière soi règle ce problème.
• Ce que vous envoyez sort quand même. Publier sur une plateforme, ou envoyer un message à quelqu'un dont le propre téléphone est compromis, n'est pas protégé par votre système d'exploitation.
• Les métadonnées de vos fichiers restent intactes. Une vidéo que vous filmez contient toujours des données GPS et des détails sur l'appareil, à moins que vous ne les supprimiez.
• La contrainte. Aucun logiciel ne résiste à quelqu'un qui peut vous détenir jusqu'à ce que vous le déverrouilliez.
• Le firmware et la bande de base. Le modem cellulaire exécute son propre code propriétaire. GrapheneOS l'isole autant qu'Android le permet ; il ne peut pas le remplacer.
• Vous. Réutiliser un nom d'utilisateur, vous connecter à un compte personnel depuis un profil professionnel, ou publier une photo où l'on reconnaît une fenêtre, anéantira tout cela. La plupart des gens sont identifiés par leurs habitudes, pas par des exploits.

07Les questions que les gens posent vraiment

08Sources et lectures complémentaires

• GrapheneOS — site officiel grapheneos.org
• Liste complète des fonctionnalités et du durcissement grapheneos.org/features
• Programme d'installation web officiel grapheneos.org/install/web
• Appareils pris en charge et dates de fin de vie, à vérifier avant d'acheter grapheneos.org/faq#device-support
• Documentation sur le code PIN de contrainte grapheneos.org/usage#duress
• Amnesty International Security Lab — méthodologie d'analyse médico-légale de Pegasus amnesty.org · contexte sur la menace des logiciels espions mercenaires
• The Citizen Lab — recherche continue sur la surveillance ciblée citizenlab.ca

Dernière révision : 25 septembre 2026