Guía en español · actualizada en octubre de 2026
Tu móvil,
blindado.
GrapheneOS es el sistema operativo móvil libre que convierte un Google Pixel en el teléfono más seguro y privado que puedes llevar en el bolsillo. Y sigue usando tus apps de Android.
- Pixel compatibles
- 21
- Años de actualizaciones
- 7
- Precio · código abierto
- 0 €
- Minutos para instalarlo
- ~30
01 · El problema
Tu móvil habla de ti. Todo el rato.
Un Android o un iPhone corriente trae servicios con privilegios que no puedes limitar, y apps que piden más de lo que necesitan. Cada fallo de memoria es una puerta para el software espía.
- RastreoIdentificadores publicitarios, telemetría y SDK de terceros dentro de apps que comparten tu actividad.
- Permisos ampliosApps con acceso a red, sensores y archivos que no necesitan para funcionar.
- ExploitsFallos de memoria que permiten a software espía tomar el control sin que toques nada (ataques zero-click).
- Servicios privilegiadosComponentes del fabricante con acceso total al sistema que no puedes limitar ni auditar.
02 · La solución
¿Qué es GrapheneOS?
GrapheneOS es un sistema operativo móvil libre y de código abierto, centrado en la privacidad y la seguridad, compatible con las apps de Android. Se instala en teléfonos Google Pixel y endurece cada capa del sistema: memoria, kernel, permisos, arranque y red. No trae servicios de Google, pero puedes instalar Google Play dentro de una caja aislada, como una app más y sin privilegios especiales.
- Basado en AOSPEl Android de código abierto, sin capas del fabricante.
- Sin ánimo de lucroLo desarrolla la GrapheneOS Foundation desde 2014 (antes CopperheadOS).
- Tus apps de siempreWhatsApp, Signal, Telegram, banca y la Play Store, si la quieres.
03 · Capas de defensa
Seis muros entre tú y el atacante.
- 01
hardened_malloc · MTE
Memoria blindada
Asignador de memoria endurecido propio y etiquetado de memoria por hardware (MTE) en Pixel 8 y posteriores: muchos fallos que el software espía explota se detectan y bloquean antes de que sirvan para atacar.
- 02
SELinux · seccomp
Sandbox reforzado
Las apps quedan más aisladas entre sí y del sistema. El kernel y el sistema base se compilan con mitigaciones extra contra exploits y se reduce la superficie de ataque.
- 03
Red · Sensores · Ámbitos
Permisos que mandas tú
Permiso de Red y de Sensores por app, Ámbitos de almacenamiento y Ámbitos de contactos: das a cada app solo lo que tú decides, sin que lo note.
- 04
Verified Boot · Auditor
Arranque verificado
Con el bootloader bloqueado de nuevo, cada arranque comprueba criptográficamente que el sistema no se ha modificado. La app Auditor permite verificarlo con atestación por hardware.
- 05
USB-C · Reinicio automático
Bloqueo de verdad
El puerto USB-C deja de transmitir datos con el móvil bloqueado, el teléfono se reinicia solo tras un tiempo sin desbloquear (vuelve al estado cifrado) y el PIN puede tener teclado aleatorio y PIN de emergencia que borra el dispositivo.
- 06
MAC aleatoria · Vanadium
Red discreta
Dirección MAC aleatoria por conexión Wi-Fi, modo solo LTE, Wi-Fi y Bluetooth que se apagan solos y Vanadium, un navegador basado en Chromium con protecciones adicionales.
Lista completa en grapheneos.org/features (se abre en otra pestaña)
04 · Compatibilidad
Google Play, pero dentro de una caja
En Android normal, los servicios de Google forman parte del sistema y tienen acceso privilegiado. En GrapheneOS no vienen instalados. Si los necesitas, los instalas desde la tienda de apps de GrapheneOS y funcionan como una app normal, dentro del sandbox estándar y sin permisos especiales. Puedes ponerlos solo en un perfil de usuario y dejar el resto del móvil libre de Google.
- Sin acceso privilegiado al sistema
- Revocas sus permisos como los de cualquier app
- Aislables en un perfil secundario o Espacio privado
- Compatibilidad con la mayoría de apps de Play Store
05 · Cara a cara
Android de serie frente a GrapheneOS
| Función | Android de serie | GrapheneOS |
|---|---|---|
| Servicios de Google | Integrados y con privilegios | Opcionales, aislados como una app |
| Permiso de red por app | No existe | Sí, lo activas o quitas por app |
| Permiso de sensores | No existe | Sí, por app |
| Memoria endurecida | Asignador estándar | hardened_malloc + MTE |
| USB-C con el móvil bloqueado | Datos activos | Solo carga (configurable) |
| Reinicio automático | No (llegó parcialmente después) | Sí, por defecto a las 18 h |
| PIN de emergencia que borra | No | Sí |
| Código fuente | Partes cerradas del fabricante | 100 % abierto |
06 · Dispositivos
Funciona en Google Pixel. Del 6 al 10a.
Los Pixel son, hoy, los únicos móviles que cumplen los requisitos de hardware de GrapheneOS. Te recomendamos un Pixel 8 o posterior.
Recomendados · 7 años de actualizaciones · MTE
- Pixel 10a
- Pixel 10 Pro Fold
- Pixel 10 Pro XL
- Pixel 10 Pro
- Pixel 10
- Pixel 9a
- Pixel 9 Pro Fold
- Pixel 9 Pro XL
- Pixel 9 Pro
- Pixel 9
- Pixel 8a
- Pixel 8 Pro
- Pixel 8
También compatibles
- Pixel Fold
- Pixel Tablet
- Pixel 7a
- Pixel 7 Pro
- Pixel 7
- Pixel 6a
- Pixel 6 Pro
- Pixel 6
07 · Instalación
Diez pasos. Sin comandos. Desde el navegador.
El instalador web oficial lo hace casi todo por ti. Necesitas un ordenador, un cable USB-C y unos 30 minutos.
- 01
Haz copia de seguridad 5 min
Instalar GrapheneOS borra todo el teléfono. Guarda fotos, chats y contraseñas en otro sitio antes de empezar.
Se borrarán todos los datos del móvil.
- 02
Activa el desbloqueo OEM 1 min
Ajustes › Información del teléfono › toca 7 veces «Número de compilación». Después, Ajustes › Sistema › Opciones para desarrolladores › activa «Desbloqueo de OEM».
- 03
Arranca en modo bootloader 1 min
Apaga el móvil y enciéndelo manteniendo pulsado el botón de bajar volumen. Verás un triángulo rojo y «Fastboot Mode». No pulses «Start».
- 04
Conéctalo al ordenador 1 min
Abre grapheneos.org/install/web en un navegador compatible y conecta el cable. En Windows, si no lo reconoce, instala el controlador de fastboot desde Windows Update.
- 05
Desbloquea el bootloader 1 min
Pulsa «Unlock bootloader» en el instalador y confírmalo en el móvil: con los botones de volumen eliges la opción y con el de encendido la aceptas.
Este paso borra el teléfono.
- 06
Descarga GrapheneOS 3–10 min
Pulsa «Download release». El instalador elige automáticamente la versión para tu modelo y la descarga en el navegador.
- 07
Instala la versión 5–10 min
Pulsa «Flash release» y espera sin tocar el móvil ni el cable. Se reiniciará varias veces mientras escribe el firmware y el sistema.
- 08
Vuelve a bloquear el bootloader 1 min
Pulsa «Lock bootloader» y confírmalo en el móvil. Este paso es imprescindible: activa el arranque verificado y la protección completa.
Vuelve a borrar los datos, así que hazlo antes de configurar nada.
- 09
Primer arranque 3 min
Elige «Start» en el bootloader. En la última pantalla del asistente, desactiva el interruptor de desbloqueo OEM, que viene activado.
- 10
Verifica la instalación 2 min
Al arrancar verás un aviso amarillo con el hash de la clave de arranque verificado: compáralo con el publicado para tu modelo en grapheneos.org. Para la comprobación más fuerte, usa la app Auditor desde un segundo Android.
08 · Bienvenido
Bienvenido al mundo seguro.
Preguntas rápidas
¿Es gratis?
Sí. Es gratuito y de código abierto. El proyecto se financia con donaciones en grapheneos.org/donate.
¿Funcionan WhatsApp, Telegram, el banco y mis apps?
La gran mayoría, sí. Con Google Play en sandbox funcionan las notificaciones push, la Play Store y la mayoría de apps. Unas pocas apps bancarias y de pagos bloquean los sistemas que no son de Google mediante la Play Integrity API. Los pagos sin contacto de Google Wallet no funcionan, pero sí las alternativas de algunos bancos.
¿Por qué solo funciona en Google Pixel?
Porque GrapheneOS exige requisitos de hardware que hoy solo cumplen los Pixel: bootloader que se puede volver a bloquear con las claves del propio sistema, elemento seguro (Titan M2), parches de firmware puntuales, 5 a 7 años de soporte y etiquetado de memoria (MTE). Motorola trabaja con el proyecto para tener móviles compatibles a partir de 2027.
¿Es difícil de instalar?
No. Con el instalador web oficial se hace desde el navegador en unos 15–30 minutos, sin comandos. Basta con seguir los pasos de la guía de esta web.
¿Necesito un ordenador con Linux?
No. Sirve un ordenador con Windows 10/11, macOS, Linux o ChromeOS, e incluso otro móvil Android con un navegador basado en Chromium.
¿Pierdo la garantía?
Google permite desbloquear el bootloader de los Pixel libres y GrapheneOS lo vuelve a bloquear al terminar. En la UE, la garantía legal cubre los defectos de hardware. Si alguna vez la necesitas, puedes volver a Android de serie antes de enviarlo.