A maioria dos conselhos de privacidade pede que você mude uma configuração. Este pede que você substitua o sistema operacional do seu telefone. Isso é um pedido e tanto, então este guia dedica tanto tempo ao que você abre mão quanto ao que você ganha, e diz claramente quando a resposta é não vale a pena.
GrapheneOS é uma versão gratuita e de código aberto do Android, criada por uma organização sem fins lucrativos focada em segurança, que roda apenas em telefones Google Pixel. Ele remove o Google do sistema operacional, adiciona permissões que o Android não tem (um interruptor de internet por aplicativo, um interruptor de sensores, armazenamento e contatos falsos-vazios), reforça as partes do Android que os atacantes exploram e adiciona defesas específicas contra apreensão, um PIN que apaga o telefone, reinicialização automática de volta a um estado totalmente criptografado e bloqueio da porta USB enquanto bloqueado. A instalação leva cerca de vinte minutos a partir de um navegador web.
01O que ele realmente corrige
É fácil listar recursos. É mais útil começar pelas quatro formas como um telefone coloca as pessoas em apuros, e ver com o que cada uma é respondida.
Ameaça: o telefone é tomado de você
Em um posto de controle, em uma operação, em uma fronteira. Ferramentas de extração forense vendidas para polícias e serviços de inteligência no mundo todo funcionam melhor contra um telefone que está ligado e foi desbloqueado pelo menos uma vez desde a inicialização; nesse estado, grande parte dos seus dados já está descriptografada na memória e o sistema operacional tem muita superfície de ataque exposta. Um telefone que foi reiniciado e ainda não foi desbloqueado é um alvo muito mais difícil: as chaves de criptografia simplesmente não estão lá.
O GrapheneOS ataca isso diretamente:
- Reinicialização automática. Se o telefone não for desbloqueado por um período definido, ele reinicia sozinho de volta para esse estado fortemente criptografado de pré-desbloqueio. Configurável, e pode ser definido para apenas dez minutos. Um telefone confiscado de manhã e levado a um laboratório à tarde chega frio.
- PIN de coação. Você define um segundo PIN ou senha. Digitá-lo parece uma tentativa normal de desbloqueio e, em vez disso, apaga irreversivelmente o dispositivo — partição de dados e eSIMs, destruindo as chaves. Funciona a partir da tela de bloqueio e de qualquer lugar onde o dispositivo peça sua credencial.
- Controle da porta USB. A porta pode ser restrita apenas ao carregamento, ou desativada completamente, enquanto o dispositivo está bloqueado. Ferramentas forenses geralmente chegam via USB.
- Embaralhamento de PIN e sem armadilhas de fallback por impressão digital. O layout do teclado pode ser randomizado para que alguém olhando por cima do ombro ou uma câmera no teto não consiga aprender seu PIN, e o tratamento de tentativas falhas é mais rigoroso que no Android padrão.
Entenda a exposição legal. Destruir dados deliberadamente durante uma busca é crime em muitas jurisdições, e usá-lo pode transformar uma busca em dispositivo em uma acusação de obstrução. É uma ferramenta para uma situação específica, uma apreensão hostil não legal onde o conteúdo colocaria outras pessoas em perigo, não um padrão. Decida com antecedência, com calma, se isso se aplica a você, e nunca configure um que você possa digitar por acidente.
Ameaça: os aplicativos no seu próprio telefone
No Android padrão, um aplicativo que pode ler seu armazenamento pode ler tudo. Um aplicativo com permissão de contatos leva todo o seu grafo social. E todo aplicativo instalado tem acesso à internet automaticamente — o Android nunca teve uma permissão para recusá-lo.
- Permissão de rede. O GrapheneOS adiciona uma. Você pode instalar um aplicativo e simplesmente não deixá-lo falar com a internet, um aplicativo de câmera, um leitor de PDF, um removedor de metadados, um mapa offline. Esse único botão mata a maior parte da telemetria de imediato.
- Permissão de sensores. Bloqueia o acelerômetro, giroscópio, bússola, barômetro e outros sensores que o Android expõe sem nenhuma permissão. Esses sensores são suficientes para criar uma impressão digital do dispositivo e, em pesquisas publicadas, para inferir digitação e movimento.
- Escopos de armazenamento. Em vez de negar a um aplicativo o acesso ao armazenamento e vê-lo quebrar, você diz a ele que o armazenamento está vazio e depois concede arquivos ou pastas individuais. O aplicativo acredita que tem acesso total e vê apenas o que você escolheu.
- Escopos de contatos. O mesmo truque para seus contatos. Um aplicativo de mensagens pode ver exatamente três pessoas em vez de toda a sua agenda.
Ameaça: o próprio Google
Em um telefone Android padrão, o Google Play Services é executado com amplo acesso privilegiado embutido no sistema operacional. Ele não pode ser removido, restringido ou auditado de forma significativa, e é um alvo de acesso legal — o Google recebe e responde a solicitações de geofence e de conta.
O GrapheneOS vem sem nenhum código do Google. Se você precisar da Play Store, pode instalar o Google Play em sandbox: os aplicativos comuns do Google, executados como um aplicativo normal sem privilégios no perfil que você escolher, sujeitos a todas as permissões acima, incluindo o botão de rede. A maioria dos aplicativos que precisam do Play Services simplesmente funciona. O Google recebe o que qualquer outro aplicativo recebe: o que você permitir.
Ameaça: alguém atacando o telefone remotamente
Spyware mercenário, a classe de ferramentas Pegasus/Predator, tem sido usado repetidamente contra jornalistas e defensores de direitos humanos nesta região. Nenhum telefone é imune. Mas essas cadeias de exploração são construídas e testadas contra sistemas operacionais de fábrica, e o GrapheneOS muda o terreno sob elas: um alocador de memória reforçado, um kernel e libc reforçados, mitigações de compilador mais rigorosas e redução agressiva da superfície de ataque. Várias cadeias de exploração documentadas falharam contra ele incidentalmente, simplesmente porque as suposições nas quais o exploit se baseava não eram mais verdadeiras.
Este é o detalhe técnico que separa o GrapheneOS de quase todas as outras ROMs Android personalizadas, e vale a pena entendê-lo. A maioria das ROMs personalizadas exige que você deixe o bootloader desbloqueado, o que desativa permanentemente o boot verificado: o telefone então iniciará qualquer sistema operacional que alguém colocar nele, e a adulteração se torna indetectável. O GrapheneOS permite bloquear novamente o bootloader com sua própria chave de assinatura, de modo que toda a cadeia de confiança de hardware permanece intacta. Você mantém a segurança de hardware do Pixel e obtém o sistema operacional reforçado. Você não está trocando um pelo outro.
02Por que é exclusivo para Pixel, e qual comprar
A exigência de Pixel frustra as pessoas, e não é favoritismo. Ela decorre do ponto sobre boot verificado acima. Os Google Pixels são, na prática, os únicos telefones amplamente disponíveis que permitem a um sistema operacional de terceiros bloquear novamente o bootloader com sua própria chave e manter o boot verificado completo e a atestação respaldada por hardware. Eles também vêm com um elemento seguro dedicado e recebem suporte de firmware longo e previsível, e o firmware é a única camada que nenhum projeto de sistema operacional pode corrigir para você.
Um Pixel só é tão seguro quanto suas atualizações de firmware. O Pixel 8 e posteriores vêm com sete anos de atualizações garantidas a partir do lançamento; modelos anteriores tinham janelas mais curtas e algumas já terminaram. Verifique a lista atual de dispositivos suportados em grapheneos.org antes de comprar qualquer coisa, nova ou usada, um Pixel fora de suporte rodando GrapheneOS ainda tem firmware sem patches por baixo, e essa é exatamente a camada que mais importa.
Comprar sem criar rastro
Se o seu modelo de ameaça inclui alguém estabelecendo que você possui um telefone reforçado, a compra é o ponto fraco, não o dispositivo.
- Dinheiro, em pessoa, em segunda mão é o mais limpo. Verifique o status da lista negra do IMEI antes de pagar.
- Não compre estoque bloqueado por operadora ou com marca de operadora, algumas variantes de operadora não podem ser desbloqueadas para instalação de forma alguma.
- Compre o telefone e o SIM em lugares diferentes, idealmente em dias diferentes.
- Um telefone novo lacrado de uma grande varejista pago em dinheiro também é bom, e elimina qualquer preocupação sobre o que um proprietário anterior fez com ele.
03O que você abre mão
Todo guia que pula esta seção está vendendo algo para você. Aqui está a lista real.
| Coisa | Status | Detalhe |
|---|---|---|
| Pagamentos sem contacto | Avariado | O Google Wallet tap-to-pay não funciona e não se espera que funcione. Leve um cartão. Esta é a razão mais comum pela qual as pessoas voltam atrás. |
| Aplicações bancárias e governamentais | Misto | A maioria funciona com o Play em sandbox; algumas precisam das permissões ou definições que esperam, como localização, notificações ou acesso à rede. Uma minoria falha completamente nas verificações de integridade do dispositivo. Teste o seu banco específico antes de contar com ele. |
| Alguns serviços de streaming em HD | Misto | Certos serviços baixam para resolução inferior devido à certificação DRM. |
| Correio de voz da operadora e RCS | Misto | Varia consoante a operadora. Chamadas padrão, SMS e dados móveis não são afetados. |
| A sua garantia | Depende | A legislação de defesa do consumidor na UE e no Reino Unido geralmente protege-o; noutros locais, assuma que o desbloqueio do bootloader pode ser considerado uma anulação da garantia. A instalação é totalmente reversível de qualquer forma. |
| Não chamar a atenção | Custo | Discutido abaixo. Leia. |
| Usabilidade diária | Boa | É Android. A interface, a Play Store, as suas apps, as notificações, tudo normal. A maioria das pessoas deixa de notar dentro de uma semana. |
Um telemóvel reforçado pode, por si só, atrair atenção. Num posto de controlo, um agente que não reconheça o seu sistema operativo pode encarar isso como suspeito por si só, e em alguns locais usar software invulgar é interpretado como prova de que há algo a esconder.
Este é um compromisso genuíno sem resposta universal. Vale a pena conhecer duas mitigações: o GrapheneOS parece Android comum a qualquer pessoa que olhe para o ecrã, e pode manter um perfil de proprietário de aparência normal com apps banais enquanto o seu trabalho sensível vive num perfil de utilizador separado com a sua própria encriptação. Se vive num local onde a inspeção de dispositivos é rotina, pondere isto com cuidado, e leia o guia de postos de controlo quando for publicado.
04Instalá-lo
O instalador web oficial faz tudo a partir de um navegador. É a instalação de um SO personalizado mais fácil que existe, e é muito difícil avariar permanentemente um Pixel desta forma; uma instalação falhada pode ser recuperada começando de novo.
A instalação apaga tudo. Faça backup das suas fotos, das suas sementes de autenticador de dois fatores e da transferência da sua conta Signal primeiro, e confirme que consegue realmente restaurá-los. Os aplicativos autenticadores são o que as pessoas perdem; se os seus códigos 2FA existem apenas neste telefone, resolva isso antes de começar ou você ficará trancado fora das suas próprias contas.
-
Tenha as instruções oficiais à sua frente
Abra grapheneos.org/install/web e siga-a junto com esta página. O guia oficial é autoritativo e mantido atualizado; este explica o raciocínio e as decisões que o instalador não toma por você. Digite o endereço à mão, não chegue até ele por um mecanismo de busca, onde domínios parecidos compram anúncios.
-
Use um navegador baseado em Chromium em um computador
O instalador precisa de WebUSB, o que significa Chrome, Edge, Vanadium ou similar. Firefox e Safari não funcionarão. Use um cabo USB-C de boa qualidade, o que veio com o telefone é ideal. A maioria das falhas de instalação relatadas é um cabo ruim ou um hub instável, então conecte diretamente na máquina.
-
Ative as opções de desenvolvedor e desbloqueie o bootloader
No telefone: Configurações → Sobre o telefone → toque em Número da versão sete vezes. Depois Configurações → Sistema → Opções do desenvolvedor → ative Desbloqueio OEM e Depuração USB.
Se o desbloqueio OEM estiver cinzaO telefone está bloqueado pela operadora, ou é novo demais para a conta. Conecte-o à internet e deixe-o por um tempo, ou resolva o bloqueio da operadora. Não force, um Pixel bloqueado por operadora pode não ser instalável de forma alguma, por isso o conselho de compra acima diz para evitá-los.
-
Execute o instalador web
Percorra a página em ordem: desbloqueie o bootloader, baixe a versão, faça o flash. O navegador pedirá que você selecione o dispositivo — escolha o Pixel quando a caixa de diálogo aparecer. Todo o estágio de flash geralmente leva de dez a quinze minutos em uma conexão decente. Não desconecte.
-
Bloqueie novamente o bootloader, não pule esta etapa
A etapa final do instalador. Pular isso deixa seu telefone permanentemente vulnerável a qualquer pessoa com acesso físico e joga fora um dos principais motivos para usar o GrapheneOS. O instalador não permitirá bloquear uma instalação quebrada, então se o comando funcionar, você está bem.
-
Confirme o estado de inicialização
Na primeira inicialização, você deve ver o aviso amarelo de inicialização verificada mostrando a chave de assinatura do próprio GrapheneOS, e depois o assistente de configuração. Amarelo com a chave do GrapheneOS é correto e esperado. Laranja significa que o bootloader ainda está desbloqueado — volte e bloqueie-o.
05A primeira hora: configurações que importam
Instalar é a maior parte do trabalho, mas os padrões são deliberadamente moderados para que pessoas comuns não fiquem trancadas fora dos próprios telefones. Estas são as mudanças que vale a pena fazer imediatamente.
-
Defina uma senha de verdade, não um PIN de 4 dígitos
Esta é a coisa de maior valor nesta página. Todas as outras proteções dependem, em última análise, da sua credencial. Seis palavras aleatórias, ou um PIN de pelo menos oito dígitos. Ative a embaralhamento de PIN enquanto estiver aí.
-
Ative a reinicialização automática e encurte-a
Configurações → Segurança. Escolha uma janela que combine com sua vida. Se você estiver em algum lugar onde apreensão é um risco real, algumas horas ou menos. A contrapartida é que, após uma reinicialização, alarmes e notificações não chegam até você desbloquear, o que é precisamente o ponto.
-
Restrinja a porta USB enquanto bloqueado
Configurações → Segurança → USB. Somente carregamento quando bloqueado, no mínimo; totalmente desativado se você puder viver com isso.
-
Desativar 2G
O 2G legado tem criptografia quebrada, e os IMSI catchers funcionam forçando seu telefone a usá-lo. O GrapheneOS permite que você recuse. Também há um modo somente LTE. Desative o 2G, a menos que você esteja em algum lugar sem nenhuma outra cobertura de verdade.
-
Decida sobre o Google antes de instalar qualquer coisa
Se você puder viver sem a Play Store, viva — obtenha apps do F-Droid, do Accrescent, ou diretamente dos desenvolvedores, e aproveite um telefone sem nenhum código do Google nele. Se você precisar do Play Services, instale o Google Play em sandbox do repositório de Apps integrado, mas coloque-o em um perfil de usuário secundário, não no seu principal, para que fique isolado do seu trabalho sensível.
-
Faça os apps funcionarem com o Google Play em sandbox
Abra o app GrapheneOS Apps no perfil onde você quer usar um app e instale o Google Play services. Ele instala tanto o Play services quanto a Play Store. Instale o app nesse mesmo perfil: o Play em sandbox não pode fornecer serviços a um app em outro perfil. Mantenha o Play services, a Play Store e o app atualizados por meio do app Apps e da Play Store.
Se um app abrir, mas o login, as notificações, os mapas, as compras ou a atualização em segundo plano não funcionarem, verifique estes pontos antes de conceder acesso mais amplo:
- Perfil: confirme que o app e o Google Play em sandbox estão instalados no mesmo perfil de usuário.
- Bateria: nas configurações do app Google Play services, permita que ele seja executado sem otimização de bateria para que possa entregar notificações em segundo plano. Faça o mesmo com o app apenas se ele ainda precisar disso.
- Permissões do app: habilite apenas a permissão de que o recurso com falha precisa — comumente Notificações, Localização, Dispositivos próximos, Câmera ou Arquivos. Comece de forma restrita, teste e só adicione outra quando necessário.
- Localização: conceda permissão de localização ao app se ele precisar de localização. O redirecionamento de localização padrão do GrapheneOS geralmente é suficiente; só altere as configurações de localização do Google se o uso comum de localização realmente falhar.
- Atualizações e reinicialização: atualize os três componentes, force o fechamento e reabra o app e, em seguida, reinstale-o se uma atualização o tiver deixado travado.
Um pequeno número de apps rejeita o GrapheneOS porque exige um veredito específico de integridade do dispositivo. Essa é uma restrição do criador do app, não uma permissão ausente; nenhuma configuração deve ser enfraquecida apenas para contorná-la.
-
Configure perfis
Perfis de usuário separados têm chaves de criptografia separadas. Uma divisão prática:
- Proprietário, nada além da configuração. Você raramente o usa.
- Pessoal — vida comum, Play Services se você precisar deles, banking, mapas.
- Trabalho — documentação, Signal, câmera, o arquivo. Sem Google.
Um perfil no qual você não está logado fica em repouso e criptografado. Você também pode configurar perfis para encerrar a sessão automaticamente quando você trocar para outro.
-
Audite permissões app por app
Todo app que você instalar: ele precisa de internet? Sensores? Armazenamento real, ou um escopo com três arquivos nele? Presuma que não por padrão e ative as coisas quando algo quebrar visivelmente. Isso leva vinte minutos uma vez e compensa permanentemente.
-
Verifique se a instalação é genuína
Instale a aplicação Auditor do GrapheneOS e emparelhe-a com um segundo dispositivo, ou use o serviço oficial de atestação. Confirma criptograficamente que o seu telefone está a executar um GrapheneOS genuíno e não modificado com o bootloader bloqueado, e pode continuar a verificá-lo ao longo do tempo, que é como detetaria adulterações depois de o telefone sair da sua vista.
- Descarregue apenas de
grapheneos.org, escrito à mão - Volte a bloquear o bootloader
- Use uma frase-passe longa
- Mantenha o telefone atualizado — as instalações são automáticas e frequentes
- Separe identidades em perfis separados
- Teste a aplicação do seu banco antes de depender dela
- Instale compilações de fóruns, Telegram ou links do YouTube
- Faça root — o root destrói o modelo de segurança que veio procurar
- Adicione uma conta Google no seu perfil sensível
- Assuma que derrota uma operação estatal direcionada
- Defina um PIN de coação que você não analisou juridicamente
- Deixe o bootloader desbloqueado "por enquanto"
06Do que ele não protege você
Ser claro sobre isso é o que torna o restante do guia confiável.
- A rede sabe que você existe. Sua operadora ainda vê a quais torres você se conecta. É assim que a telefonia celular funciona. Só deixar o telefone para trás resolve isso.
- O que você envia ainda sai. Publicar em uma plataforma, ou enviar mensagem para alguém cujo próprio telefone está comprometido, não é protegido pelo seu sistema operacional.
- Os metadados dos seus arquivos não são tocados. Um vídeo que você grava ainda carrega GPS e detalhes do dispositivo, a menos que você os remova.
- Coação. Nenhum software resiste a alguém que pode te deter até você desbloqueá-lo.
- Firmware e baseband. O modem celular executa seu próprio código proprietário. O GrapheneOS o isola até onde o Android permite; ele não pode substituí-lo.
- Você. Reutilizar um nome de usuário, fazer login em uma conta pessoal a partir de um perfil de trabalho, ou postar uma foto com uma janela reconhecível nela vai desfazer tudo isso. A maioria das pessoas é identificada por hábitos, não por exploits.
07Perguntas que as pessoas realmente fazem
É legal usar?
Instalar um sistema operacional diferente em hardware que você possui é legal na grande maioria dos países, e o GrapheneOS é um projeto sem fins lucrativos desenvolvido abertamente. Dito isso, em algumas jurisdições e em algumas fronteiras, criptografia ou software incomum atrai pressão independentemente da legalidade. Conheça a sua própria situação.
É difícil de usar no dia a dia?
Não. É o Android com uma interface simples e sem programas pré-instalados desnecessários. A curva de aprendizado é o modelo de permissões, e isso leva no máximo uma semana. A fricção real é o pagamento por aproximação e algum aplicativo teimoso ocasional, não o sistema operacional.
Posso voltar ao Android normal?
Sim. O Google publica imagens de fábrica oficiais e o processo é o mesmo tipo de flashing ao contrário, terminando com o bootloader bloqueado novamente. Nada aqui é permanente.
Por que não LineageOS, /e/OS ou CalyxOS?
Eles têm trade-offs diferentes. A questão decisiva é o boot verificado: a maioria das alternativas exige deixar o bootloader desbloqueado, o que significa que o telefone inicializará qualquer coisa e a adulteração não pode ser detectada. Se o seu modelo de ameaça inclui qualquer pessoa obtendo acesso físico ao seu dispositivo, que é exatamente o modelo de ameaça dos colaboradores deste site, isso é eliminatório.
O CalyxOS oferece suporte ao rebloqueio em Pixels e é uma escolha razoável para quem quer uma configuração mais amigável. Ele não vai nem de longe tão longe no endurecimento ou nos recursos específicos para apreensão descritos acima.
Isso prejudica a duração da bateria ou o desempenho?
A duração da bateria geralmente é a mesma ou melhor, principalmente porque o Google Play Services não está rodando em segundo plano a menos que você tenha pedido. O alocador de memória endurecido custa alguns por cento de desempenho em benchmarks e não é perceptível no uso.
Não posso pagar um Pixel. O que faço?
Então faça o resto. Um telefone de fábrica com uma longa frase-senha, Signal, permissões cuidadosas, uma VPN e hábitos disciplinados supera um telefone com GrapheneOS usado de forma descuidada. O hardware é uma camada. O comportamento é o que pega a maioria das pessoas, e é gratuito. Um Pixel de segunda mão ainda com suporte também é mais barato do que a maioria das pessoas imagina.
Como é financiado o projeto?
Doações e subsídios, como uma organização sem fins lucrativos registada. Sem publicidade, sem recolha de dados, sem acordos com fornecedores. O código-fonte é público e as compilações são reprodutíveis, o que significa que qualquer pessoa pode verificar que o binário lançado corresponde ao código-fonte publicado.
08Fontes e leitura adicional
- GrapheneOS — site oficial grapheneos.org
- Lista completa de funcionalidades e reforço de segurança grapheneos.org/features
- Instalador web oficial grapheneos.org/install/web
- Dispositivos compatíveis e datas de fim de vida, verifique antes de comprar grapheneos.org/faq#device-support
- Documentação do PIN de coação grapheneos.org/usage#duress
- Amnesty International Security Lab — metodologia forense do Pegasus amnesty.org · contexto sobre a ameaça do spyware mercenário
- The Citizen Lab — investigação contínua sobre vigilância direcionada citizenlab.ca
Última revisão: 25 de setembro de 2026