Applications bancaires sécurisées sur GrapheneOS

Avec GrapheneOS, qu’est-ce qui est le plus sécurisé pour les applications bancaires ? Créer un profil à par pour lancer les applications, ou utiliser l’espace privé ?

Le profil séparé est plus sécurisé que l’espace privé (Private Space), même si c’est un peu moins pratique au quotidien.

Pourquoi :

• Un profil utilisateur secondaire est un environnement Android complet et isolé : clé de chiffrement propre, stockage séparé, et surtout VPN séparé pour chaque profil (les profils secondaires ont leur propre configuration VPN, tout comme les Private Spaces) — mais l’isolation va plus loin pour les profils, avec un cloisonnement complet au niveau système, comme si c’était un second appareil.
• L’espace privé (Private Space, la fonctionnalité Android 15 reprise par GrapheneOS) tourne à l’intérieur de la même session utilisateur. L’isolation existe (données et apps séparées), mais elle est moins étanche qu’un vrai profil, car elle partage davantage le contexte du profil principal.

Concrètement pour tes applis bancaires : la pratique recommandée par la communauté GrapheneOS est de créer un profil dédié (souvent appelé « Google » ou « Bancaire ») dans lequel tu installes Play Services sandboxé + tes applis bancaires. Cela évite tout problème de compatibilité, ces applis fonctionnant alors comme sur un Android standard. Tu bascules dessus uniquement quand tu en as besoin, puis tu reviens sur ton profil principal [1].

L’inconvénient du profil séparé : il faut changer de session (quelques secondes), et le partage de données entre profils n’est pas natif — il faut passer par une appli comme Inter Profile Sharing si besoin.

Si la friction du changement de profil te rebute vraiment, l’espace privé reste largement suffisant pour la plupart des usages — mais si la priorité est la sécurité maximale pour du bancaire, le profil séparé est le choix le plus solide.

Les applications sont à installer depuis le profil principal, ou peuvent-elles être installées directement sur le profil "Bancaire" ?

Les applications s’installent directement dans le profil « Bancaire » — pas depuis le profil principal.

Comment ça marche :

1. Tu bascules sur le profil « Bancaire » (via le menu de déverrouillage ou les paramètres système).
2. Depuis ce profil, tu installes le Play Store sandboxé de GrapheneOS (Sandboxed Google Play), puis tes applications bancaires via ce Play Store.
3. Chaque profil a son propre Play Store et ses propres applis installées : rien de ce qui est installé dans le profil principal n’apparaît dans le profil « Bancaire », et inversement.

Deux subtilités utiles :

• Si une appli est déjà installée dans le profil principal, GrapheneOS permet de l’installer aussi dans un autre profil sans la re-télécharger, via la fonction « Install available apps » — pratique si tu utilises la même appli (ex. une appli d’authentification) dans les deux profils.
• Depuis le profil principal (Owner), tu peux désactiver l’installation d’applications dans le profil secondaire une fois que tu y as mis tout ce dont tu as besoin — ça évite qu’une appli malveillante ou compromise s’y installe plus tard sans que tu t’en rendes compte.

En résumé : tu configures tout depuis l’intérieur du profil « Bancaire » lui-même, le profil principal ne sert qu’à gérer les paramètres globaux (création du profil, droits d’installation, etc.).

Si je désactive l’installation d’applications, est-ce que les applications déjà installées recevront les mises à jour ?

Non — désactiver cette option bloque aussi les mises à jour, pas uniquement les nouvelles installations.

Le réglage s’appelle en réalité « App installs and updates » (installations et mises à jour) dans les paramètres GrapheneOS, pas juste « installation ». Quand tu le désactives pour le profil « Bancaire », plus rien ne peut être installé ni mis à jour dans ce profil, quelle que soit la méthode (Play Store, Install Available Apps depuis le profil principal, ADB, etc.) — le blocage est total.

En pratique, ça veut dire :

• Tes applis bancaires ne recevront pas les mises à jour de sécurité tant que le réglage est désactivé.
• Pour les mettre à jour, il faut réactiver temporairement l’option, laisser le Play Store faire ses mises à jour, puis la désactiver de nouveau.

Alternative plus pratique : au lieu de couper complètement les installations, choisis l’option « First party only » (première partie uniquement) si elle est disponible sur ton profil — elle autorise les mises à jour via le Play Store/l’installeur légitime tout en bloquant l’installation d’applis venant d’ailleurs. Sinon, une routine simple consiste à réactiver l’option une fois par semaine ou deux le temps de laisser les mises à jour se faire, puis à la redésactiver.