Google a modifié en profondeur ses pratiques de publication du code source d’Android, réduisant leur fréquence et creusant l’écart avec les projets indépendants. GrapheneOS, système orienté vie privée, dénonce une fermeture progressive de l’écosystème.
Android se présente comme un système ouvert. La réalité que vivent les développeurs indépendants est plus nuancée. Depuis janvier 2026, Google ne publie plus le code source d’Android que deux fois par an, contre une publication à chaque mise à jour trimestrielle auparavant. La mise à jour QPR1 d’Android 17, déployée cette semaine sur les téléphones Pixel de Google, illustre concrètement ce changement : elle embarque quelque 200 correctifs de sécurité que les appareils du fabricant reçoivent immédiatement, tandis que les projets tiers devront attendre la prochaine fenêtre de publication, attendue au mieux en fin d’année, sans date précise annoncée.
C’est GrapheneOS qui a porté la critique publiquement. Ce système d’exploitation durci, conçu pour les utilisateurs soucieux de leur vie privée et débarrassé des services Google, a publié une mise en cause détaillée des nouvelles pratiques du géant californien. Le projet pointe notamment le fait que la mise à jour QPR1 introduit de nouvelles interfaces de programmation destinées aux développeurs d’applications, sans les rendre disponibles dans le code source public : elles restent pour l’instant réservées au système installé sur les Pixel. GrapheneOS y voit une rupture inédite depuis Android 3.x, dit Honeycomb, soit plus d’une décennie et demie.
Le projet soulève également une autre modification, celle-là jamais confirmée officiellement par Google : la réduction du périmètre des correctifs rétroportés vers les versions antérieures d’Android. Seules les failles critiques identifiées en interne seraient encore corrigées sur les anciennes versions, les autres attendant la prochaine mise à jour majeure. Le résultat pratique est qu’un appareil affichant le niveau de correctif du mois en cours peut ignorer une partie des vulnérabilités pourtant corrigées ailleurs, sans que l’utilisateur en soit informé.
La situation de GrapheneOS est structurellement fragile face à ces décisions. Le projet ne fonctionne que sur des appareils Pixel, les seuls à offrir les protections matérielles jugées indispensables par ses développeurs, dans l’attente que le partenariat annoncé avec Motorola se concrétise. Chaque retard dans la publication du code source se traduit directement par des semaines supplémentaires pendant lesquelles les utilisateurs de GrapheneOS restent exposés à des failles déjà corrigées sur les Pixel.
Les difficultés du projet ne se limitent pas à ses relations avec Google. En août, la néobanque Revolut a bloqué l’accès à son application depuis les téléphones fonctionnant sous GrapheneOS, une décision que le projet avait vivement contestée. Fin 2025, GrapheneOS avait par ailleurs retiré ses serveurs de France et quitté l’hébergeur OVHcloud, après des déclarations menaçantes de la police judiciaire française et un article de presse associant le système au trafic de stupéfiants. Pris entre une justice française jugée trop intrusive et un fournisseur américain de plus en plus restrictif, le projet navigue dans un espace qui se rétrécit.
Communauté
Commentaires
Écrire un commentaire
Soyez le premier à commenter cet article.