Remplacer Android stock : GrapheneOS (Pixel) et CalyxOS sans Google par défaut

⚠️ Guide technique. Ce guide suppose que vous êtes prêt à acheter un téléphone spécifique (Pixel) et à suivre une procédure d'installation avancée. Si vous voulez juste réduire l'emprise de Google sur votre Android actuel sans changer de téléphone ni d'OS, ce guide n'est pas pour vous aujourd'hui — revenez plus tard.

Votre téléphone « Android » est surtout un client Google : compte, Play Services, Push, Find My Device, sauvegarde, SafetyNet/Play Integrity, pubs dans certaines peaux constructeur. Samsung/Xiaomi ajoutent leur couche. Si vous voulez un mobile dont le défaut n’est pas le graphe Google, vous ne « configurez » pas mieux les paramètres — vous changez d’OS (et souvent de hardware). Classement Privious : GrapheneOS #1 (Pixel), CalyxOS, migration sans romantisme.

Pourquoi quitter Android stock (et les peaux OEM)

Google Play Services = identité permanente. Presque chaque app « moderne » s’appuie sur le push FCM, les libs Play, la pub, la localisation fused. Même sans ouvrir Gmail, le téléphone phone home. Les « roms sans gapps » bricolées cassent la moitié des apps bancaires — d’où l’intérêt d’OS pensés pour ça (sandboxes, isolations, compatibilité documentée).

OEM bloat. Clones d’apps, stores parallèles, télémétrie constructeur, MAJ sécurité en retard hors Pixel/flagships. Un Android « privacy » marketing (options dans les settings) ≠ hardening réel.

Permissions et pub. Le modèle économique mobile freemium repose sur l’identifiant publicitaire, les trackers SDK, les permissions abusives. Un OS qui expose mieux les toggles (réseau, sensors, stockage) change votre rapport de force — à condition que vous vous en serviez.

Threat model vol / frontière. Chiffrement disque, verrouillage fort, pas de cloud backup Google par défaut, compartiments profils : ce n’est pas du théâtre. GrapheneOS pousse loin (exploit mitigations, sandboxing renforcé).

Concret : vous n’avez pas besoin de jeter votre numéro. Vous avez besoin d’un téléphone où Google est opt-in, pas le système nerveux.

Nos critères de sélection

Critère	Exigence privacy-first
Matériel supporté	Liste claire (Pixel pour GrapheneOS)
MAJ sécurité	Rapides, signées, canal officiel
Google Services	Absents ou sandboxed / opt-in
Exploit mitigations	Au-delà d’AOSP stock
Apps du quotidien	Banque / messagerie / maps : plan B documenté
Verrouillage	PIN fort, pas de face unlock faible comme seul facteur

Règle ranking : GrapheneOS devant les custom ROM Instagram-famous sans audit. CalyxOS pour ceux qui acceptent d’autres compromis. Un VPN mobile ne remplace pas une ROM privacy. LineageOS « + MicroG » n’est pas automatiquement #1 ici.

Alternatives classées

1. GrapheneOS — score Privious : 10 (recommandé — Pixel)

Pour qui. Threat model privacy et sécurité sérieux. Vous acceptez d’acheter / utiliser un Google Pixel supporté (le hardware est choisi pour le support bootloader + updates, ironie assumée).

Forces. Durcissements mémoire et sandbox au-delà d’AOSP, profils utilisateurs solides, permission Sensors / Network granulaires, sandboxed Google Play optionnel (dans un profil isolé si vous en avez besoin pour une app bancaire), MAJ rapides, projet transparent, pas de bloat OEM. Meilleur rapport « téléphone utilisable + posture dure » du marché privacy mobile grand public technique.

Limites. Pixel only — pas votre Samsung pliable. Courbe : installer via web official, comprendre les profils, accepter que certaines apps détectent l’absence d’attestation « stock » (Play Integrity). Caméra / features Google exclusives parfois en retrait. Ce n’est pas « un clic root Magisk aesthetic ».

CTA. Voir la fiche GrapheneOS sur Privious (modèles Pixel supportés, guide install).

2. CalyxOS — score Privious : 8

Pour qui. Vous voulez une ROM privacy avec une approche un cran plus « grand public soft » selon les époques du projet, tout en restant hors Android OEM stock. Vérifiez au moment T la liste d’appareils et l’état du support (les ROM bougent).

Forces. Orientation privacy, outils inclus selon builds (firewall-ish, services optionnels), documentation accessible, alternative si vous étudiez l’écosystème hors GrapheneOS. Utile à connaître pour comparer compromis.

Limites. Posture sécurité / mitigations : GrapheneOS reste #1 Privious sur Pixel. Support appareils et rythme de release : toujours vérifier la fiche à jour — ne pas acheter un téléphone « pour Calyx » sans liste officielle actuelle. Ne multipliez pas trois ROM « au cas où ».

CTA. Voir la fiche CalyxOS sur Privious (état support, écarts vs GrapheneOS).

Hors podium privacy-first ici : Android stock « avec DNS AdGuard seulement », iOS présenté comme équivalent GrapheneOS (modèle différent — hors scope de ce guide), ROM abandonnées, root Magisk + 40 modules « privacy » comme substitut d’OS maintenu, et « je mets NordVPN donc mon Xiaomi est clean ».

Migration pas-à-pas

Objectif : Pixel + GrapheneOS en quotidien sous 1–2 week-ends, ancien Android en téléphone secondaire puis effacé.

Phase 0 — Matériel & inventaire

1. Vérifiez la liste Pixel supportés GrapheneOS (années / modèles). N’achetez pas au hasard.
2. Inventoriez les apps critiques : banque, Impôts, transports, employeur MDM, authenticator.
3. Exporte : codes 2FA vers une app libre (Aegis) avant wipe ; contacts (VCF) ; photos (voir guide Photos Privious — pas un dump Google Photos non chiffré comme seule copie).
4. Notez les numéros / eSIMs : plan de bascule opérateur.

Phase 1 — Install propre

1. Suivez uniquement le guide officiel GrapheneOS (USB, navigateur supporté). Déverrouiller le bootloader est une étape obligatoire de l'installation — elle efface entièrement le contenu actuel du téléphone, assurez-vous d'avoir tout sauvegardé avant (Phase 0).
2. Relock bootloader selon consignes projet — ne laissez pas un téléphone « unlock forever » par paresse.
3. Premier boot : PIN / phrase longue ; pas de biométrie seule comme facteur faible sur threat model élevé.
4. Créez un profil utilisateur séparé pour les apps qui exigent Google Play sandboxed — ne polluez pas le profil principal.

Phase 2 — Apps sans tout rouvrir Google

1. F-Droid + Obtainium / stores auditables pour le possible.
2. Messagerie : Signal (ou suivant votre guide messagerie Privious).
3. Maps : Organic Maps (voir guide Maps). Navigateur : Vanadium (Graphene) / Firefox + uBO.
4. Banque : testez d’abord sans Play ; si échec, Play sandboxed dans le profil dédié — pas un compte Google fourre-tout avec Gmail + YouTube + pub ID.
5. Push : acceptez que certaines apps notifient moins bien sans FCM ; c’est souvent un feature, pas un bug.

Phase 3 — Couper l’ancien téléphone

1. Double SIM / eSIM le temps de valider OTP SMS.
2. Quand GrapheneOS vit : factory reset de l’ancien Android, retirez le compte Google, détruisez la session cloud.
3. MDM employeur : téléphone pro séparé si possible — ne mélangez pas menace entreprise et vie privée perso sur le même profil.
4. CalyxOS : uniquement si votre scénario matos / doc à jour le justifie mieux — sinon reste sur GrapheneOS Pixel.

Piège. Installer GrapheneOS puis tout de suite tout le Google stack dans le profil principal. Piège. Acheter un Pixel « trop vieux » hors support. Piège. Confondre « APK Mirror random » et distribution sûre.

FAQ

Pourquoi Pixel si je fuis Google ? Parce que GrapheneOS a besoin de hardware avec support long, bootloader contrôlable et mises à jour firmware. Le silicon Google ici est un moyen, pas une invitation à garder le compte. Vous installez un OS qui retire Google du siège conducteur.

Mes apps bancaires marcheront-elles ? Souvent oui via Play sandboxed / profil isolé ; parfois non (attestation stricte). Testez avant de vendre votre ancien téléphone. Gardez un secondary cheap pour le cas pathologique plutôt que de revenir à Samsung stock « pour une app ».

GrapheneOS vs CalyxOS ? Sur Pixel, Privious recommande GrapheneOS en #1 sécurité/privacy. CalyxOS = alternative à évaluer selon support et besoins ; pas un ex aequo automatique. Lis les fiches à la date du jour.

Un VPN suffit-il sur Android stock ? Non. Le VPN masque une partie du trafic réseau à l’opérateur / Wi‑Fi ; il n’enlève pas Play Services, les trackers SDK, ni le backup Google. Couches : OS durci + apps + VPN privacy-first sur réseau hostile — le VPN n’est pas une ROM.

Par où commencer

Si vous êtes prêt : vérifiez un Pixel supporté, lisez le guide officiel GrapheneOS, et planifiez un week-end d’install + profils. Comparez GrapheneOS / CalyxOS sur les fiches Privious (scores, modèles, alertes). Commencez par sortir les 2FA et les photos du silo Google avant le wipe.

Méthode

Le classement suit la méthodologie Privious : chiffrement, ouverture du code, audits publiés, juridiction et modèle économique. Les liens partenaires, lorsqu'il y en a, sont signalés et n'entrent pas dans le score. Les prix et les caractéristiques sont ceux écrits dans la page. Aucune source externe n'est ajoutée ici.