Berne · Bâle · Zurich · Genève
Un Google Pixel avec GrapheneOS, configuré et contrôlé par nos soins, remis en main propre. Vos données restent chiffrées. Caméra, micro, radio et câble restent sous votre contrôle.
Protection en sept couchesToucher
Étape 01 / 07
Puce de sécurité Titan M2
Les clés de vos données dépendent de la puce et de votre PIN. La puce ralentit les saisies erronées. Le PIN d'urgence efface l'appareil.
Étape 02 / 07
Démarrage vérifié
7F3A 09BC E41D 5A2CSignature conformeÀ chaque démarrage, l'appareil vérifie, à partir du matériel, que le système n'a pas été modifié.
Étape 03 / 07
GrapheneOS
Un système renforcé, sans services publicitaires ni d'analyse. Si l'appareil reste longtemps verrouillé, il redémarre et scelle à nouveau les données.
Étape 04 / 07
Profils séparés
Le quotidien et le confidentiel, chacun avec ses applis, ses données et ses clés. Un profil fermé est à nouveau chiffré. Une séparation, pas une cachette.
Étape 05 / 07
Autorisations, radio et câble
Vous gérez la caméra, le micro et la radio un par un. Appareil verrouillé, l'USB-C ne fait passer que le courant.
Étape 06 / 07
Connexion protégée
Avec Gold, le profil confidentiel ne se connecte que de manière chiffrée. Si la connexion tombe, il n'y a plus de réseau plutôt que des données non protégées.
Étape 07 / 07
Messagerie sans numéro
On se voit à 14 h?Pas de numéro de téléphone, pas d'e-mail, pas d'identifiant. Un message n'est lisible que par vous et son destinataire.
01Pourquoi
Un appareil standard envoie sans cesse des données aux fabricants, aux réseaux publicitaires et à des entreprises que vous ne connaissez pas. La plupart du temps, vous ne remarquez rien.
Un appareil OpSek est configuré pour transmettre le moins possible vers l'extérieur. Ce que vous enregistrez et écrivez reste chiffré. Seule la personne qui détient la clé peut le lire.
Passez la souris dessus.Faites glisser votre doigt dessus. Votre clé se trouve sous la loupe. Ce n'est qu'avec elle que le message devient lisible.
Exemple sous trois points de vue: avec votre clé, le message est lisible. Le fournisseur de la messagerie ne voit que des caractères chiffrés et aucun numéro de téléphone. Après un redémarrage, la clé n'est pas en mémoire et, sans votre PIN, tout reste chiffré.
02Ce que vous recevez
Un Google Pixel neuf acheté dans le commerce suisse, configuré de zéro. Chaque appareil est contrôlé individuellement avant d'être remis.
Un manuel pour votre configuration. Il explique ce qui tourne sur votre appareil, pourquoi il est réglé ainsi et à quoi faire attention au quotidien. Fait pour être consulté, pas pour être lu une seule fois.
Toute personne qui a un appareil de chez nous en fait partie. Vos questions et vos expériences sont les bienvenues, et nous continuons à construire ensemble.
03Les couches
Faites défiler: l'appareil se construit de bas en haut, de la puce comme fondation jusqu'au message au sommet. Chaque couche protège autre chose. Chacune indique aussi où se trouve sa limite.
Couche 01 Fondation
Tout commence dans le matériel. Les clés de vos données dépendent de la puce de sécurité Titan M2 et de votre PIN. La puce freine les PIN erronés par des délais d'attente croissants. Un second PIN, le PIN d'urgence, efface l'appareil immédiatement et définitivement si vous le souhaitez, eSIM comprise.
LimiteUn PIN court se devine vite. À la remise, nous vous montrons quelle longueur choisir.
Couche 02 Le matériel vérifie le logiciel
À chaque démarrage, l'appareil vérifie, à partir du matériel, que le système n'a pas été modifié (Verified Boot). À la remise, nous vérifions la signature avec vous, pour que vous voyiez que personne n'a rien changé entre-temps.
LimiteLe contrôle confirme que le système est authentique. Il ne dit rien des applis que vous installerez ensuite.
Couche 03 GrapheneOS
GrapheneOS est open source et renforcé contre les attaques. Il fonctionne sans services publicitaires ni d'analyse. Les mises à jour arrivent signées. Si l'appareil reste longtemps verrouillé, il redémarre et scelle à nouveau vos données. Les applis qui exigent les services Google tournent dans un bac à sable, si vous le souhaitez.
LimiteUn appareil sans mises à jour vieillit. Installez-les dès qu'elles arrivent.
Couche 04 Espaces séparés
Le quotidien et le confidentiel tournent dans des profils séparés, chacun avec ses applis, ses données et sa clé. Nous en configurons deux. GrapheneOS en permet jusqu'à 32, par exemple un pour les voyages ou un pour une appli en laquelle vous n'avez pas confiance. Quand vous fermez un profil, ses applis s'arrêtent et sa clé est effacée de la mémoire.
Quotidien actif · autres profils fermés
LimiteUn profil est une séparation, pas une cachette. Quiconque tient votre appareil déverrouillé voit les profils.
Couche 05 Vous décidez
Chaque appli ne reçoit que ce dont elle a besoin. Caméra, micro, localisation, réseau et capteurs sont autorisés un par un, et une touche coupe entièrement la caméra et le micro. Le NFC et le Bluetooth sont désactivés dès le départ, le Wi-Fi et le Bluetooth se coupent d'eux-mêmes après un moment. Dans chaque réseau Wi-Fi, l'appareil présente une nouvelle adresse. Appareil verrouillé, le port USB-C ne fait passer que le courant, aucune donnée.
LimiteUne appli à laquelle vous accordez une autorisation peut l'utiliser. Et votre opérateur mobile voit toujours où votre appareil est enregistré.
Couche 06 Avec Gold
Avec Gold, le profil confidentiel ne se connecte que par une connexion chiffrée (VPN, 12 mois inclus) et passe en plus par plusieurs relais. Si la connexion protégée tombe, le profil n'a plus de réseau au lieu d'envoyer sans protection. Avec Base, vous décidez pour chaque appli si elle peut se connecter.
LimiteLe fournisseur de la connexion chiffrée voit où vous vous connectez. Qui se connecte quelque part sous son nom reste reconnaissable à cet endroit.
Couche 07 Au sommet
Une messagerie qui ne demande ni numéro de téléphone, ni adresse e-mail, ni identifiant. Les clés de vos contacts sont créées sur l'appareil et y restent. Les messages sont chiffrés de bout en bout et passent par des serveurs indépendants les uns des autres. Il n'y a ni compte central ni annuaire des utilisateurs. Avec Gold, elle ne fonctionne dans le profil confidentiel que par la connexion protégée, et les messages disparaissent après un délai défini.
LimiteLa personne avec qui vous écrivez peut lire vos messages. Une capture d'écran de l'autre côté ne peut pas être empêchée.
04En chemin
Un message est chiffré sur votre appareil et n'est ouvert à nouveau que par son destinataire. Entre les deux, les relais ne voient que des caractères illisibles.
Dans le schéma, les messages passent par des relais changeants. En chemin, le contenu reste chiffré. Il n'est lisible que sur les deux appareils.
LimiteQuiconque lit au début ou à la fin du trajet, par exemple sur l'appareil du destinataire, voit le message en clair. Le chiffrement protège le trajet, pas les extrémités.
05Comparaison
Un smartphone Android typique, un iPhone et un Pixel avec GrapheneOS comparés point par point: protection contre les attaques, contrôle des applis et de la radio, absence de télémétrie.
Android
Smartphones typiques, tels que livrés
1 / 22 · Oui dans cette sélection
iOS
iPhone
2 / 22 · Oui dans cette sélection
GrapheneOS
Pixel, configuré par nos soins
22 / 22 · Oui dans cette sélection
| Fonction | Android | iOS | GrapheneOS |
|---|---|---|---|
| Matériel | |||
| La puce de sécurité protège les clés et freine la devinette du PINAndroid: selon le fabricant et le modèle · iPhone: Secure Enclave · Pixel: Titan M2 | En partie | Oui | Oui |
| Protection de la mémoire contre les attaques dans tout le système (MTE)iOS: seulement les puces d'iPhone les plus récentes | Non | En partie | Oui |
| Accès aux données par USB-C verrouillable par paliers, uniquement la charge en mode verrouillé par défautAndroid: seulement certains fabricants, en option · iOS: bloqué après une heure | En partie | En partie | Oui |
| Authenticité de l'appareil vérifiable avec une appli (attestation matérielle) | Non | Non | Oui |
| Chiffrement | |||
| Données chiffrées (AES-256) | Oui | Oui | Oui |
| Profils séparés avec leur propre cléAndroid: selon le fabricant, souvent un simple dossier sécurisé · iOS: pas de profils | En partie | Non | Oui |
| Protection d'accès | |||
| Le PIN d'urgence efface l'appareil, eSIM comprise | Non | Non | Oui |
| Redémarrage automatique librement réglable, après 18 heures par défautAndroid: selon la version et le fabricant · iOS: fixé à 72 heures | En partie | En partie | Oui |
| Empreinte digitale plus PIN comme deux facteurs | Non | Non | Oui |
| Clavier PIN dans un ordre aléatoire | Non | Non | Oui |
| Jusqu'à 32 profils séparésiOS: pas de profils | Non | Non | Oui |
| Protection contre les exploits | |||
| Allocateur de mémoire renforcéiOS: son propre renforcement | Non | En partie | Oui |
| Noyau renforcé, pas de chargement de code à l'exécutioniOS: en mode Isolement | Non | En partie | Oui |
| Protection contre les exploits réglable par appli | Non | Non | Oui |
| Confidentialité | |||
| Pas de télémétrie dans le systèmeAndroid: services de Google et du fabricant, souvent des applis préinstallées · iOS: l'analyse peut être désactivée | Non | En partie | Oui |
| Bloquer l'accès réseau par appliAndroid: seulement certains fabricants · iOS: données mobiles uniquement | En partie | En partie | Oui |
| Bloquer les capteurs par appli | Non | Non | Oui |
| Les applis ne voient que les fichiers et contacts que vous autorisezAndroid: sélecteur de photos · iOS: accès limité | En partie | En partie | Oui |
| Services Google uniquement comme appli normale, sans droits particuliersAndroid: profondément intégrés au système · iOS: sans objet | Non | Sans objet | Oui |
| Nouvelle adresse Wi-Fi à chaque connexionAndroid et iOS: par réseau, pas par connexion | En partie | En partie | Oui |
| Aucun trafic qui contourne le VPN | En partie | En partie | Oui |
| Serveurs propres pour l'heure et le test de connexion, au lieu de ceux du fabricant | Non | Non | Oui |
En partie limité, selon le fabricant ou seulement avec un mode supplémentaire (mode Isolement) · Non introuvable dans la documentation officielle · – sans objet
LimiteAu quotidien, les autres sont plus confortables: toutes les applis bancaires ne fonctionnent pas, le paiement sans contact avec Google Wallet ne marche pas et il n'y a pas de localisation de l'appareil. Nous vérifions que vos applis fonctionnent avant l'achat.
État au 27 octobre 2026. Sur la base de la documentation officielle de GrapheneOS, Google et Apple. «Android typique» désigne des appareils de divers fabricants dans leurs réglages par défaut, certains modèles peuvent différer. Les fonctions peuvent changer avec les mises à jour.
06Base et Gold
Base contient les sept couches. Gold étend la sixième et protège aussi la destination de vos connexions confidentielles.
Pour qui veut séparer proprement le quotidien et le confidentiel.
Pour qui communique de manière confidentielle pour son travail ou voyage souvent.
Que voulez-vous protéger?Contre qui?Que se passe-t-il en cas d'échec?
Les spécialistes de la sécurité commencent par ces trois questions. S'il s'agit des collecteurs de données et de séparer le quotidien du travail, Base suffit. Si vous voyagez pour votre travail ou ne voulez pas que votre fournisseur voie où vont vos connexions confidentielles, prenez Gold. Si vous vous attendez à des attaques ciblées d'adversaires disposant de grands moyens, aucun appareil ne suffit à lui seul. Écrivez-nous alors d'abord.
07Déroulement
Vous nous écrivez, idéalement depuis une adresse séparée qui ne porte pas votre nom.
Nous clarifions ce que vous voulez protéger et si Base ou Gold convient.
Nous achetons un Pixel neuf dans le commerce suisse.
Configuré et contrôlé selon une procédure fixe, en 5 à 10 jours ouvrables.
En main propre à Berne, Bâle, Zurich ou Genève, ou par envoi assuré. Nous vérifions l'authenticité ensemble, et vous définissez vous-même vos PIN.
08En toute franchise
Face à des attaques ciblées d'adversaires disposant de grands moyens, un appareil aide, mais ne suffit pas à lui seul.
Les profils séparent. Ils ne cachent pas qu'ils existent.
Votre opérateur mobile voit où votre appareil est enregistré, même avec Gold.
Votre PIN, vos mises à jour et les applis que vous installez déterminent en partie le niveau de sécurité de l'appareil.
09Pour qui
10Fiche technique
AES-256-XTSAES-256-CTSSources: grapheneos.org/features, grapheneos.org/faq, Google Store. État en octobre 2026. Les fonctions peuvent changer avec les mises à jour.
11Questions
Votre question n'y figure pas? Écrivez-nous, nous répondons personnellement.
Poser une questionLa plupart, oui. Les applis qui exigent les services Google tournent dans un bac à sable si vous le souhaitez, avec des autorisations normales. Le mieux est de les installer dans le profil du quotidien, pas dans le profil confidentiel.
Non. Vous définissez vous-même tous les PIN à la remise. Nous ne les voyons pas et ne conservons rien de vos contenus.
Dites-nous brièvement à quoi il doit vous servir. Vous recevrez une réponse avec une offre pour Base et Gold.
OpSek est une vente unique. En contrepartie, vous recevez le manuel à conserver et l'accès à la communauté, où les questions sont les bienvenues.
Non. L'appareil arrive entièrement configuré. À la remise, nous parcourons ensemble les étapes les plus importantes.
12Qui nous sommes
Des personnes qui prennent la sécurité numérique au sérieux. Le noyau se trouve à Berne, Bâle et Zurich. Autour, d'autres personnes travaillent sur les mêmes questions, issues de l'informatique, de l'université et de la pratique. Il n'y a pas de hiérarchie, seulement une conviction commune: un smartphone doit travailler pour vous.
Pas besoin d'acheter quoi que ce soit pour en faire partie. Si vous voulez réfléchir ou construire avec nous, écrivez-nous. Aucune connaissance technique n'est nécessaire, il suffit de vous poser les mêmes questions.
Participer13Accessoires
Pas de boutique et aucune obligation. Si vous souhaitez quelque chose de concret pour accompagner l'appareil, vous pouvez le demander. Prix et disponibilité se règlent lors de l'échange.
Comptes · toujours deuxUniquement par paire
Qu'est-ce que cela signifie?Deux petites clés pour vos comptes en ligne, comme une clé de maison et son double. Sans la clé, personne n'entre dans le compte, même avec votre mot de passe.
Radio · pochette
Qu'est-ce que cela signifie?Une pochette qui bloque les signaux radio. Comme une enveloppe en métal: ce qui se trouve dedans n'émet pas vers l'extérieur.
Écran · film
Qu'est-ce que cela signifie?Un film pour l'écran. De face, vous voyez tout, de côté, il devient sombre. La personne assise à côté de vous ne peut pas lire.
Tout ensemble
Paire de clés, pochette de blindage et filtre de confidentialité en set. Peut aussi être demandé sans appareil.
14Contact
Un clic n'ouvre pas d'e-mail. Il ouvre d'abord un court guide pour nous écrire en laissant le moins de données possible.
Intérêt pour un appareil, une question ou simplement un échange. Nous répondons personnellement.
ConseilNe nous écrivez pas avec votre nom et votre adresse principale. Le court guide derrière l'adresse explique comment faire. Rien de tout cela n'est obligatoire.