O GrapheneOS roda um celular sem conta, sem e-mail e sem documento — e avisou as novas leis de verificação de idade que isso não vai mudar.

Como funciona

O GrapheneOS é um fork blindado do Android Open Source Project que se instala em hardware Google Pixel a partir de uma aba do navegador via WebUSB — sem conta de fabricante, sem ferramenta proprietária de flash. O instalador então retrava o bootloader com as próprias chaves de assinatura do GrapheneOS, de modo que o boot verificado permanece íntegro de ponta a ponta e o telefone atesta o próprio firmware, não o do Google.

O que chega ao aparelho é Android com a camada do Google extirpada: sem Play Services, sem Play Store, sem pedido de conta na configuração. Apps que realmente precisam do Google podem rodar via sandboxed Google Play, uma camada de compatibilidade que instala os binários oficiais do Google como apps comuns e sem privilégios, confinados a um único perfil. Eles não têm privilégios de sistema, veem apenas o que aquele perfil permite, e entrar numa conta Google continua opcional.

O blindamento por baixo é o verdadeiro produto: um alocador de memória blindado, marcação de memória por hardware nos Pixels recentes, até 32 perfis secundários, Storage e Contact Scopes, e permissões de Network e Sensors que o Android padrão não oferece. O modo somente LTE elimina os caminhos de código da banda base 2G, 3G e 5G. O aparelho reinicia sozinho para o estado pré-desbloqueio após 18 horas ocioso, e um PIN de coação o apaga — eSIMs inclusos — de forma irreversível.

KYC e privacidade

Não há cadastro, não há e-mail, não há número de telefone, não há conta. As próprias palavras do projeto são diretas: "não existem análises nem telemetria no GrapheneOS", e a única coisa que os servidores aprendem é o modelo genérico do aparelho e a versão do sistema necessários para servir uma atualização. Verificações de conectividade, hora de rede, buscas do almanaque GNSS e o provisionamento de chaves de atestado passam por endpoints operados pelo GrapheneOS em vez dos do Google. Os logs do lado do servidor são apagados após quatro a dez dias — pouco, mas não zero.

O software é gratuito. A GrapheneOS Foundation, uma entidade sem fins lucrativos federal canadense constituída em Toronto em março de 2023, financia o desenvolvimento com doações em Bitcoin, Monero, Ethereum, Litecoin e Zcash, ou via PayPal, Wise e GitHub Sponsors. Nada disso é necessário para rodar o sistema.

Em março de 2026 o projeto disse que não vai implementar as exigências de verificação de idade em nível de sistema operacional que estão chegando agora. A AB-1043 da Califórnia entra em vigor em 1º de janeiro de 2027 e obriga fabricantes de sistemas operacionais a coletar a data de nascimento na configuração e expô-la às lojas de aplicativos por meio de uma API. O GrapheneOS disse que vai "continuar utilizável por qualquer pessoa em qualquer lugar do mundo, sem exigir informação pessoal, identificação ou conta", e que "se os aparelhos GrapheneOS não puderem ser vendidos numa região por causa das regulamentações locais, que assim seja."

Pontos fortes e limites

As garantias são estruturais, não apenas promessas. Boot verificado sob chaves controladas pelo usuário, atestado por hardware via o app Auditor, e um sistema sem nada para registrar não são políticas que uma troca de direção possa revogar silenciosamente. O blindamento também não é teatro: a marcação de memória revelou uma falha de Bluetooth LE, CVE-2024-23694, antes que alguém estivesse procurando por ela. E em julho de 2026 o PIN de coação foi testado da forma menos confortável possível — um processo federal americano se seguiu depois que o celular de um viajante se apagou sozinho durante uma revista de fronteira em Atlanta. O recurso fez exatamente o que a documentação diz que faz.

Os limites são moldados pelo hardware, e honestos. O GrapheneOS roda em Pixels e mais nada, porque quase nenhum outro aparelho oferece o atestado e as garantias de atualização de longo prazo que seu modelo de ameaça pressupõe; uma parceria com a Motorola anunciada em março de 2026 deve ampliar isso em 2027, não hoje. Não há auditoria independente publicada do sistema como um todo — o código é aberto, mas nenhuma empresa independente assinou um relatório sobre ele, e essa lacuna é o que separa esta nota da do Tails. A governança também foi turbulenta: a separação de 2018 do antigo patrocinador e a saída do fundador em 2023 sob assédio foram episódios ruidosos, ainda que nenhum dos dois jamais tenha custado nada a um usuário.

Veredito

O GrapheneOS é a camada de dispositivo que o resto deste índice silenciosamente pressupõe e raramente obtém — um aparelho que roda carteiras Monero, SimpleX e Tor sem uma conta Google por baixo. Vale a pena se você consegue viver com um Pixel; pule se precisar de outro aparelho hoje, ou se quiser um relatório de auditoria para apontar.