GrapheneOS sur Pixel : guide d’installation 2026

GrapheneOS est, en 2026, la distribution Android de référence axée sur la vie privée. Elle ne fonctionne que sur les Google Pixel (car le Pixel est le seul appareil Android récent dont la chaîne Verified Boot complète permet d’installer un système tiers tout en reverrouillant le bootloader). Pour les utilisateurs soucieux de leur vie privée en Allemagne, au Royaume-Uni, aux États-Unis et au Canada, elle est passée d’un projet de niche à un choix courant, qui fait même tourner la plupart des applis bancaires.

Ce guide présente GrapheneOS, son intérêt, ce qui fonctionne en 2026 et un parcours d’installation complet avec l’installateur web officiel.

Qu’est-ce que GrapheneOS ?

GrapheneOS est un système durci basé sur Android qui :

• Retire les services Google de la couche système (pas de Google Play Services en tant que composant système, aucun compte Google requis pour utiliser l’appareil).
• Conserve la prise en charge complète du matériel : appareil photo, capteurs, eSIM et 5G fonctionnent comme sur le système d’origine.
• Isole Google Play dans un bac à sable si vous choisissez de l’installer : les services Google tournent comme une appli ordinaire, sans privilège particulier.
• Durcit le noyau et l’espace utilisateur avec des protections mémoire plus strictes, un malloc durci et une isolation des applis plus serrée que l’AOSP d’origine.
• Préserve Verified Boot en vous laissant reverrouiller le bootloader après l’installation, ce que la plupart des autres ROM personnalisées ne permettent pas.

Pour les utilisateurs en Allemagne, très attachés au RGPD et au Datenschutz, au Royaume-Uni, méfiants envers la collecte de données des constructeurs, et de plus en plus aux États-Unis et au Canada chez les professionnels avertis, GrapheneOS trouve le bon équilibre : « aussi privé qu’une grande distribution Linux, mais toujours un téléphone qui passe des appels et fait tourner votre appli bancaire ».

Appareils pris en charge en 2026

À la mi-2026, GrapheneOS prend officiellement en charge :

• Pixel 6, 6a, 6 Pro
• Pixel 7, 7a, 7 Pro
• Pixel 8, 8a, 8 Pro
• Pixel 9, 9 Pro, 9 Pro XL, 9 Pro Fold
• Pixel Tablet

Le Pixel 5 et les modèles antérieurs ne sont plus pris en charge : en 2026, les garanties de sécurité matérielle de Google ne s’étendent plus à ces appareils.

Ce qui marche, ce qui ne marche pas (applis bancaires)

C’est la question à laquelle chaque lecteur veut vraiment une réponse. Voici la situation en 2026 pour les six pays que nous couvrons :

Fonctionne sur GrapheneOS avec Sandboxed Google Play installé :

• États-Unis : Chase, Bank of America, Wells Fargo, Capital One, US Bank, Cash App, Venmo, Zelle, PayPal, Robinhood, Coinbase.
• Canada : RBC, TD, Scotiabank, BMO, CIBC, Tangerine, Wealthsimple, Interac e-Transfer.
• Royaume-Uni : Monzo, Starling, Revolut, Wise, Lloyds, Barclays, NatWest, HSBC UK, Santander UK, First Direct.
• Allemagne : Sparkasse (la plupart des Sparkassen régionales), Deutsche Bank, Commerzbank, ING, DKB, N26, Trade Republic, Scalable Capital.
• Émirats arabes unis : Emirates NBD, FAB, ADCB, Mashreq Neo, Liv (dans la plupart des cas).
• Arabie saoudite : Al Rajhi, SNB, Riyad Bank, Alinma (dans la plupart des cas).

Échoue parfois à Play Integrity (au cas par cas) :

• Quelques applis de petits opérateurs prépayés américains, Snapchat (par intermittence), certaines applis de paris sportifs aux règles d’intégrité strictes.
• Une poignée d’applis bancaires coréennes et une ou deux applis gouvernementales saoudiennes.

Officiellement non prises en charge :

• Les applis qui utilisent l’attestation Knox (réservée à Samsung, donc sans objet sur Pixel).
• Un petit nombre d’applis de streaming verrouillées par DRM (Netflix passe en SD au lieu de HD ; HBO Max fonctionne en général).

Liste de contrôle avant l’installation

Avant de commencer :

1. Achetez le bon Pixel. Références du commerce débloquées : Google Store, Best Buy débloqué ou Amazon débloqué. Évitez les Pixel financés par un opérateur américain (Verizon, T-Mobile, AT&T) tant qu’ils ne sont pas soldés : le bootloader reste verrouillé pendant le financement.
2. Mettez d’abord à jour le système d’origine. Démarrez sous Pixel OS normal, lancez toutes les mises à jour, jusqu’au dernier correctif de sécurité.
3. Sauvegardez tout. L’installation efface l’appareil. Photos vers Google Photos, Immich ou Nextcloud, contacts exportés, clés 2FA notées ou transférées.
4. Utilisez un vrai câble USB-C de données. Beaucoup de câbles USB-C « de charge » ne transmettent pas de données : l’installation échouera en cours de route.
5. Utilisez Chrome, Edge ou Brave sur le PC. L’installateur web a besoin de WebUSB. Firefox ne fonctionne pas.

Installation pas à pas (installateur web)

La voie officielle est grapheneos.org/install/web. Le déroulement complet :

1. Activez OEM unlocking sur le Pixel : Settings → About phone → touchez 7 fois Build number ; puis Developer options → activez OEM unlocking et USB debugging.
2. Redémarrez dans le bootloader : éteignez, puis maintenez Volume Down + Power.
3. Connectez au PC avec un câble USB-C de données.
4. Ouvrez l’installateur web et cliquez sur « Unlock bootloader ». Le Pixel affiche une confirmation : appuyez sur Volume Up pour valider. L’appareil est réinitialisé.
5. Cliquez sur « Flash release ». La dernière image d’usine de GrapheneOS se télécharge et se flashe. Comptez 5 à 10 minutes.
6. Cliquez sur « Lock bootloader ». Confirmez avec Volume Up. C’est crucial : Verified Boot ne fonctionne qu’avec un bootloader verrouillé.
7. Redémarrez. Le premier démarrage de GrapheneOS prend 1 à 2 minutes (cache vide).

Après l’installation : la configuration en 10 minutes

Après le premier démarrage :

• Définissez une phrase secrète robuste ou un code PIN d’au moins 8 chiffres.
• Activez le Auto-reboot après 18 heures d’inactivité (Settings → Security → Auto-reboot) : un téléphone à l’état BFU (« Before First Unlock ») est beaucoup plus difficile à pirater.
• Décidez pour Google Play : Settings → Apps → Sandboxed Google Play. Installez-le si vous en avez besoin ; ignorez-le si vous voulez un appareil sans Google.
• Installez F-Droid pour les applis open source, et Aurora Store comme interface anonyme du Play Store pour les applis propriétaires en lesquelles vous avez confiance.
• Choisissez un navigateur respectueux de la vie privée (Vanadium est fourni d’origine ; Brave ou Mull depuis F-Droid en alternatives).

Pièges courants

• Oublier de reverrouiller le bootloader. Verified Boot ne fonctionne plus : les applis bancaires qui le vérifient refuseront de se lancer. Reverrouillez toujours.
• Mélanger GrapheneOS et Magisk. À ne pas faire. GrapheneOS durcit déjà ce que Magisk toucherait, et masquer le root sur GrapheneOS casse le modèle de sécurité. Choisissez l’un ou l’autre.
• Restaurer par-dessus une sauvegarde du système d’origine. Les données d’applis du Pixel d’origine contiennent des accroches vers les services Google qui ne se transfèrent pas proprement. Reconfigurez les applis de zéro.
• Ne pas sauvegarder les clés 2FA. C’est l’appel le plus fréquent du type « j’ai perdu l’accès » : les codes d’Authenticator ne se transfèrent pas proprement après un effacement du système.

Quand demander de l’aide

L’installateur web fait de GrapheneOS l’installation de système personnalisé la plus simple qui soit : la plupart des utilisateurs la terminent sans aide. Nous recevons des appels de clients de Berlin, Londres, Toronto et Seattle pour l’un de ces trois cas :

1. Pixel verrouillé par un opérateur qu’il faut d’abord débloquer avant de pouvoir déverrouiller le bootloader.
2. Installation ayant échoué en cours de route qui a laissé l’appareil dans un état intermédiaire.
3. Une appli bancaire échoue à Play Integrity après l’installation, et l’utilisateur veut la solution la moins coûteuse (réglages de Sandboxed Play ou restauration partielle).

Dans ces trois cas, nous résolvons généralement le problème en 1 à 2 heures par partage d’écran sur WhatsApp, facturé dans votre devise locale.