Si has sufrido un hackeo o simplemente estás cansado de que tu teléfono Android envíe datos a Google constantemente, GrapheneOS es el estándar de oro en privacidad móvil. No es solo una capa de personalización; es un sistema operativo de código abierto, endurecido y diseñado desde cero para resistir ataques.
En esta guía, te mostraré el proceso real de instalación, los obstáculos que encontrarás (como el famoso «Desbloqueo OEM») y cómo configurar tus aplicaciones para que no comprometan tu seguridad. Si vienes de leer nuestra guía completa de ciberseguridad, este es el siguiente nivel.
Requisitos previos antes de empezar
Antes de tocar nada, asegúrate de tener esto:
- Un Google Pixel compatible: GrapheneOS solo funciona en Pixels (desde el Pixel 6 en adelante son los más recomendados; el Pixel 10 ya tiene soporte).
- Un ordenador de confianza: Lo ideal es un Linux (Debian/Ubuntu). Si no tienes uno, puedes seguir nuestra guía para instalar Debian 12.
- Cable USB de calidad: Un cable defectuoso puede arruinar el flasheo.
- El teléfono debe estar limpio: Si ya lo usabas, haz un restablecimiento de fábrica.
Paso 1: Preparar el entorno en tu ordenador
No uses el fastboot que viene por defecto en los repositorios de Linux, ya que suele estar desactualizado y falla. Descarga la versión oficial de Google.
# Ejemplo en Debian/Ubuntu
sudo apt update
sudo apt install curl libarchive-tools openssh-client android-sdk-platform-tools-common
# Descargar el fastboot oficial de Google
curl -O https://dl.google.com/android/repository/platform-tools_r35.0.2-linux.zip
bsdtar xvf platform-tools_r35.0.2-linux.zip
export PATH="$PWD/platform-tools:$PATH"Paso 2: Preparar el teléfono (El paso crítico)
- Enciende tu Pixel y conéctalo a una red Wi-Fi sin VPN.
- Ve a Ajustes > Acerca del teléfono y toca Número de compilación 7 veces hasta que se active el modo desarrollador.
- Ve a Ajustes > Sistema > Opciones de desarrollador y busca «Desbloqueo OEM».
⚠️ Advertencia: Si el «Desbloqueo OEM» está en gris y no puedes activarlo, no podrás instalar GrapheneOS. Esto suele pasar si el teléfono es de una operadora (Verizon, AT&T) o si no ha verificado la red. Reinicia el teléfono conectado al Wi-Fi y vuelve a intentarlo.
Paso 3: El Flasheo (El momento de la verdad)
- Descarga y verifica la imagen: Descarga el archivo
.zipde GrapheneOS para tu modelo desde su web oficial. Verifica la firma criptográfica para asegurarte de que no está manipulada. - Entra en modo Fastboot: Apaga el teléfono y mantén pulsado Bajar volumen + Encendido hasta que veas el triángulo rojo.
- Desbloquea el bootloader: Conecta el teléfono al ordenador y ejecuta: fastboot flashing unlock Esto borrará todos los datos de tu teléfono.
- Ejecuta el instalador: bash flash-all.sh No desconectes el cable hasta que termine el proceso.
- Vuelve a bloquear el bootloader (CRÍTICO): fastboot flashing lock Este paso es obligatorio para activar la Verificación de Arranque. Si no lo haces, la seguridad de GrapheneOS queda anulada.
Paso 4: Verificación y Seguridad Post-Instalación
Al arrancar por primera vez, verás una pantalla amarilla con un código hash. Compáralo con el que aparece en la web oficial de GrapheneOS. Si coincide, tu instalación es auténtica.
Una vez dentro del sistema, configura esto de inmediato:
- Contraseña de coacción: En Ajustes > Seguridad, activa esta función. Si alguien te obliga a desbloquear el teléfono, introduces esta contraseña y el teléfono se borra automáticamente.
- Reinicio automático: Configúralo para que el teléfono se reinicie solo cada 8 horas, volviendo a cifrar los datos.
- Permiso de Red: En GrapheneOS, puedes quitar el acceso a Internet a cualquier app. Ve a Ajustes > Aplicaciones y desactiva la red para apps que no la necesiten (como la calculadora).
Paso 5: El Correo Seguro (Proton Mail sin Google)
Si vienes de un hackeo, no querrás que tu correo dependa de Google. Proton Mail es la opción más sencilla y segura.
- Crear la cuenta: Ve a
account.proton.me/signupdesde el navegador Vanadium. Elige el plan gratuito, crea una contraseña fuerte y descarga tu Kit de Recuperación (guárdalo offline). No necesitas dar número de teléfono. - Instalar sin Google Play: Descarga el APK oficial desde la web de Proton o desde su GitHub. Instálalo manualmente.
- El problema de las notificaciones: La app oficial de Proton Mail depende de los servicios de Google para las notificaciones push. Sin ellos, no te avisará cuando llegue un correo.
- Solución: Instala Obtainium para gestionar actualizaciones y revisa el correo manualmente, o usa la app «You Have Mail» (código abierto) que hace sondeos periódicos y te lanza una notificación local.
- Configurar 2FA: Activa la autenticación de dos factores usando una app como Aegis (que funciona sin Google).
Paso 6: El «Muro» (WhatsApp y VPN)
Aquí es donde muchos se frustran. WhatsApp no funciona igual que en un Android normal.
- Aislamiento: No instales WhatsApp en el perfil principal. Crea un Espacio Privado o un Perfil de Usuario Secundario.
- El problema de las llamadas: En el Espacio Privado, las llamadas y notificaciones de WhatsApp pueden fallar porque el perfil no tiene permisos de «Teléfono y SMS». La solución es usar un Perfil de Usuario Secundario y activar los permisos de llamadas y SMS para ese perfil.
- La VPN: Instala Mullvad VPN (funciona sin Google Play). Activa el «Always-on VPN» y el «Kill Switch» (Bloquear conexiones sin VPN) en los ajustes de red. Así, si la VPN se cae, el teléfono no se conecta a Internet por su cuenta. Si quieres montar tu propio servidor VPN, revisa nuestra guía para configurar un servidor VPN en casa.
Preguntas Frecuentes sobre la instalación de GrapheneOS
¿Qué teléfonos son compatibles con GrapheneOS?
GrapheneOS solo es compatible con Google Pixel. Los modelos recomendados son desde el Pixel 6 en adelante, incluyendo el Pixel 10. No funciona en otras marcas como Samsung, Xiaomi o OnePlus, ya que GrapheneOS requiere el hardware de seguridad específico (Titan M) y la política de arranque verificado de los Pixel.
¿Por qué no aparece la opción «Desbloqueo OEM» en mi Pixel?
Si el «Desbloqueo OEM» está en gris y no puedes activarlo, normalmente se debe a dos motivos: el teléfono no ha verificado la red (conéctalo a una Wi-Fi sin VPN y reinícialo) o el teléfono está bloqueado por una operadora (como Verizon o AT&T). En el segundo caso, el desbloqueo es permanente y no podrás instalar GrapheneOS.
¿Funciona WhatsApp en GrapheneOS?
Sí, pero se recomienda instalarlo en un Perfil de Usuario Secundario (no en el Espacio Privado). Al hacerlo, debes otorgar permisos de «Teléfono y SMS» a ese perfil para que las llamadas y notificaciones funcionen correctamente. Si lo instalas en el Espacio Privado, es probable que las llamadas no se registren y los mensajes no lleguen.
¿Cómo puedo usar Proton Mail sin los servicios de Google?
Puedes descargar el APK oficial directamente desde la web de Proton o desde su repositorio de GitHub. Al no tener los servicios de Google Play, no recibirás notificaciones push automáticas. Para solucionarlo, puedes usar la app de código abierto «You Have Mail» (que hace sondeos periódicos y te avisa) o simplemente revisar el correo manualmente abriendo la app.
¿Es seguro instalar un antivirus como McAfee en GrapheneOS?
No, no se recomienda. GrapheneOS no depende de antivirus tradicionales para su seguridad; de hecho, instalar software antivirus de terceros suele requerir permisos elevados que rompen el modelo de seguridad del sistema (sandboxing). La seguridad de GrapheneOS se basa en el aislamiento de aplicaciones, la verificación de arranque y los permisos granulares de red.
¿Qué pasa si no bloqueo el bootloader después de instalar GrapheneOS?
Si no vuelves a bloquear el bootloader con el comando fastboot flashing lock, la Verificación de Arranque (Verified Boot) quedará desactivada. Esto significa que el sistema operativo no podrá comprobar si ha sido manipulado, dejando tu teléfono vulnerable a ataques que modifiquen el sistema sin que te des cuenta. Es el paso más crítico de toda la instalación.
¿Puedo usar mi VPN de Mullvad en un perfil aislado?
Sí, pero ten en cuenta que GrapheneOS aísla las VPN por perfil. Si instalas WhatsApp en un Perfil Secundario, la VPN que configuraste en el perfil principal no protegerá ese espacio. Deberás instalar la app de Mullvad también dentro del perfil secundario y activar allí el «Always-on VPN» y el «Kill Switch».
Conclusión
Instalar GrapheneOS es el primer paso para recuperar el control de tu privacidad. Requiere un poco de trabajo inicial (especialmente si vienes de un hackeo y quieres ser meticuloso), pero el resultado es un teléfono mucho más seguro que el 99% de los dispositivos del mercado. Si quieres seguir auditando tu seguridad, no te pierdas nuestra guía para hacer una auditoría de seguridad de tu red doméstica.
¿Te ha sido útil esta guía? Suscríbete a veselin.es para más contenido sobre ciberseguridad, privacidad y tecnología.
