GrapheneOS en Pixel: guía de instalación 2026

GrapheneOS es, de facto, la distribución de Android centrada en la privacidad en 2026. Solo funciona en hardware Google Pixel (porque Pixel es el único dispositivo Android moderno con una cadena completa de Verified Boot que permite instalar un sistema de terceros y mantener el bootloader bloqueado de nuevo). Para quienes cuidan su privacidad en Alemania, el Reino Unido, EE. UU. y Canadá, ha pasado de ser un proyecto de nicho a una opción habitual que incluso ejecuta la mayoría de las apps bancarias.

Esta guía explica qué es GrapheneOS, por qué importa, qué funciona en 2026 y cómo instalarlo paso a paso con el instalador web oficial.

¿Qué es GrapheneOS?

GrapheneOS es un sistema basado en Android y reforzado que:

• Quita los servicios de Google de la capa del sistema (los Google Play Services no se ejecutan como parte del sistema y no hace falta una cuenta de Google para usar el dispositivo).
• Mantiene todo el soporte de hardware: cámara, sensores, eSIM y 5G funcionan igual que en el sistema original.
• Aísla Google Play en un sandbox si decides instalarlo, de modo que los servicios de Google se ejecutan como una app normal, sin privilegios especiales.
• Refuerza el kernel y el espacio de usuario con protecciones de memoria más estrictas, hardened malloc y un aislamiento de apps más estricto que el AOSP estándar.
• Conserva Verified Boot porque permite volver a bloquear el bootloader tras instalar, algo que la mayoría de las demás ROMs personalizadas no hacen.

Para quienes en Alemania tienen altas expectativas de protección de datos conforme al RGPD y al Datenschutz, en el Reino Unido desconfían de la recopilación de datos de los fabricantes y, cada vez más, en EE. UU. y Canadá entre profesionales con conocimientos técnicos, GrapheneOS da en el clavo: «tan privado como una gran distribución de Linux, pero sigue siendo un teléfono que hace llamadas y ejecuta tu app bancaria».

Dispositivos compatibles en 2026

A mediados de 2026, GrapheneOS admite oficialmente:

• Pixel 6, 6a, 6 Pro
• Pixel 7, 7a, 7 Pro
• Pixel 8, 8a, 8 Pro
• Pixel 9, 9 Pro, 9 Pro XL, 9 Pro Fold
• Pixel Tablet

El Pixel 5 y los anteriores ya no tienen soporte: en 2026 las garantías de seguridad de hardware de Google ya no cubren esos dispositivos.

Qué funciona y qué no (la realidad de las apps bancarias)

Esta es la pregunta que de verdad quiere ver respondida todo el mundo. Este es el estado en 2026 en los seis países donde damos servicio:

Funcionan en GrapheneOS con Sandboxed Google Play instalado:

• EE. UU.: Chase, Bank of America, Wells Fargo, Capital One, US Bank, Cash App, Venmo, Zelle, PayPal, Robinhood, Coinbase.
• Canadá: RBC, TD, Scotiabank, BMO, CIBC, Tangerine, Wealthsimple, Interac e-Transfer.
• Reino Unido: Monzo, Starling, Revolut, Wise, Lloyds, Barclays, NatWest, HSBC UK, Santander UK, First Direct.
• Alemania: Sparkasse (la mayoría de las Sparkassen regionales), Deutsche Bank, Commerzbank, ING, DKB, N26, Trade Republic, Scalable Capital.
• EAU: Emirates NBD, FAB, ADCB, Mashreq Neo, Liv (en la mayoría de los casos).
• Arabia Saudí: Al Rajhi, SNB, Riyad Bank, Alinma (en la mayoría de los casos).

A veces fallan en Play Integrity (según el caso):

• Algunas apps de operadores de prepago más pequeños de EE. UU., Snapchat (de forma intermitente) y algunas apps de apuestas deportivas con políticas de integridad estrictas.
• Un puñado de apps bancarias coreanas y una o dos apps del gobierno saudí.

Sin soporte oficial:

• Apps que usan la atestación de Knox (solo Samsung, así que en un Pixel no importa).
• Un pequeño número de apps de streaming con DRM (Netflix baja de HD a SD; HBO Max suele ir bien).

Lista previa a la instalación

Antes de empezar:

1. Compra el Pixel adecuado. Versiones libres de venta al público de Google Store, Best Buy o Amazon. Evita los Pixel financiados por operadores de EE. UU. (Verizon, T-Mobile, AT&T) hasta que estén pagados: mientras están financiados, el bootloader está bloqueado.
2. Actualiza primero el sistema original. Arranca el Pixel con su sistema normal, instala todas las actualizaciones y llega al último parche de seguridad.
3. Haz una copia de seguridad de todo. La instalación borra el dispositivo. Fotos a Google Photos, Immich o Nextcloud, contactos exportados y semillas de 2FA anotadas o transferidas.
4. Usa un cable USB-C de datos de verdad. Muchos cables USB-C «de carga» no transmiten datos y fallarán a mitad de la instalación.
5. Usa Chrome, Edge o Brave en el PC. El instalador web necesita WebUSB. Firefox no funciona.

Instalación paso a paso (instalador web)

La vía oficial es grapheneos.org/install/web. El proceso completo:

1. Activa OEM unlocking en el Pixel: Settings → About phone → toca 7 veces Build number; luego Developer options → activa OEM unlocking y USB debugging.
2. Reinicia en el bootloader: apaga el teléfono y mantén pulsados Volume Down + Power.
3. Conéctalo al PC con un cable USB-C de datos.
4. Abre el instalador web y haz clic en «Unlock bootloader». El Pixel pedirá confirmación; pulsa Volume Up para confirmar. El dispositivo se restablece de fábrica.
5. Haz clic en «Flash release». Se descarga y se flashea la última imagen de fábrica de GrapheneOS. Tarda de 5 a 10 minutos.
6. Haz clic en «Lock bootloader». Confirma con Volume Up. Es fundamental: Verified Boot solo funciona con el bootloader bloqueado.
7. Reinicia. El primer arranque de GrapheneOS tarda de 1 a 2 minutos (caché en frío).

Tras instalar: configuración en 10 minutos

Después del primer arranque:

• Define una frase de contraseña segura o un PIN de 8 dígitos o más.
• Activa el Auto-reboot tras 18 horas de inactividad (Settings → Security → Auto-reboot): los teléfonos en estado BFU («Before First Unlock») son muchísimo más difíciles de vulnerar.
• Decide si quieres Google Play: Settings → Apps → Sandboxed Google Play. Si lo necesitas, instálalo; si quieres un teléfono totalmente sin Google, sáltatelo.
• Instala F-Droid para apps de código abierto y Aurora Store como interfaz anónima de Play Store para las apps de código cerrado de las que te fíes.
• Configura un navegador que respete la privacidad (Vanadium viene incluido; Brave o Mull de F-Droid son alternativas).

Errores habituales

• No volver a bloquear el bootloader. Verified Boot deja de funcionar y las apps bancarias que lo comprueban se negarán a ejecutarse. Vuelve a bloquearlo siempre.
• Mezclar GrapheneOS con Magisk. No lo hagas. GrapheneOS ya refuerza lo que Magisk tocaría, y ocultar el root en GrapheneOS rompe el modelo de seguridad. Elige uno.
• Restaurar encima una copia del sistema original. Los datos de apps del Pixel original llevan enlaces a los servicios de Google que no se transfieren bien. Configura las apps desde cero.
• No guardar las semillas de 2FA. Es la llamada más habitual de «he perdido el acceso»: los códigos de Authenticator no se transfieren bien al borrar el sistema.

Cuándo pedir ayuda

El instalador web hace de GrapheneOS la instalación de un sistema personalizado más fácil del planeta, y la mayoría de los usuarios la completan sin ayuda. Nos llaman clientes de Berlín, Londres, Toronto y Seattle por uno de estos tres motivos:

1. Pixel bloqueado por el operador que hay que liberar antes de poder desbloquear el bootloader.
2. Instalación fallida a medias que dejó el dispositivo en un estado intermedio.
3. Una app bancaria falla en Play Integrity tras instalar y el usuario quiere la vía más económica para arreglarlo (ajustes de Sandboxed Play o una restauración parcial).

En cualquiera de estos casos, solemos resolverlo en 1 o 2 horas con pantalla compartida por WhatsApp, facturado en tu moneda local.