Revolut bloque les connexions GrapheneOS: certification Google, pas sécurité
Revolut s'est mis à bloquer la connexion à son application bancaire pour les utilisateurs de GrapheneOS, et le projet derrière cette version durcie d'Android affirme que la raison n'a rien à voir avec la sécurité. Dans un fil publié le 6 août 2026, GrapheneOS accuse la fintech d'imposer en réalité la licence Google Play et la certification des appareils, tout en présentant la restriction comme une mesure de protection. Le litige entre Revolut et GrapheneOS concerne peu de monde et beaucoup de principe: c'est un exemple net d'une entreprise privée qui décide qu'un téléphone n'est digne de confiance que si Google le dit.
Le blocage Revolut GrapheneOS: ce qui a changé
Les utilisateurs de GrapheneOS signalent que les nouvelles tentatives de connexion échouent tout simplement. Le verrou s'appelle Google Play Integrity, une interface qui indique à une application si l'appareil exécute un logiciel certifié par Google. Les systèmes Android dégooglisés ou construits de façon indépendante échouent à ce contrôle par définition, quel que soit leur niveau de correctifs, car la certification est un statut de licence et non une mesure de la sécurité réelle de l'appareil.
Selon GrapheneOS, Revolut va plus loin et rejette les appareils qui signalent un état jaune d'Android Verified Boot. Le jaune signifie que le bootloader est verrouillé avec une clé qui n'est pas celle du constructeur, ce qui correspond exactement à un système d'exploitation alternatif vérifié. La même restriction n'aurait pas été appliquée à l'état orange, qui indique un bootloader déverrouillé et constitue objectivement la configuration la plus faible des deux.
Le problème Android 9
L'argument central du projet porte sur une incohérence, pas sur une préférence. "Revolut a récemment interdit l'usage de GrapheneOS sans aucune justification", écrit GrapheneOS. "Ils prétendent faussement le faire pour des raisons de sécurité. En réalité, ils imposent la licence Google Play. Revolut n'impose aucune norme de sécurité. L'application tourne sur Android 9, sans correctifs depuis 2018."
Précisons cette dernière phrase: le reproche vise le plancher que Revolut fixe à ses clients, pas le code de l'application elle-même. Revolut laisse toujours son application fonctionner sur des appareils bloqués sous Android 9, une version de 2018 sortie du support de sécurité depuis des années. Ces appareils passent le contrôle parce qu'ils sont sortis d'usine avec la bénédiction de Google, tandis qu'un téléphone doté d'une build durcie, à jour et corrigée chaque mois est refusé faute de cette bénédiction. Si l'objectif était de protéger les comptes clients, le classement serait inversé.
Play Integrity face à l'attestation matérielle
Une solution technique existe, et GrapheneOS affirme la documenter depuis des années. L'attestation matérielle d'Android indique ce qui tourne réellement sur un appareil: le modèle matériel, l'état de démarrage, le système d'exploitation et le niveau de correctifs de sécurité, le tout signé par une clé gravée dans le téléphone en usine. Play Integrity répond à une question différente et bien plus grossière: le logiciel est-il approuvé par Google.
Une banque qui voudrait vraiment fixer un seuil de sécurité pourrait le faire par l'attestation: exiger un bootloader verrouillé, une chaîne de démarrage vérifiée et un niveau de correctifs pas plus ancien qu'une date donnée, puis accepter tout appareil qui franchit la barre. Choisir plutôt le signal de certification revient à faire suivre à la politique les relations commerciales de Google plutôt que l'état du téléphone qui se trouve dans la main du client.
Ce n'est pas le premier round
Revolut a tenté d'exclure ce système une première fois en janvier 2025. GrapheneOS avait alors découvert que l'application vérifiait si le nom d'hôte et le nom d'utilisateur de la machine de compilation valaient "grapheneos", et a remplacé ces valeurs par "build-host" et "build-user", ce qui a rétabli l'accès pendant plus d'un an. Le blocage actuel est plus difficile à contourner, car le verdict de Play Integrity est produit par l'infrastructure de Google et non par une chaîne de caractères inscrite dans la ROM.
Revolut n'a pas publié de réponse détaillée aux accusations. Interrogée, l'entreprise a seulement indiqué que son application prend pleinement en charge Android et iOS, sans expliquer pourquoi un appareil verrouillé, vérifié et entièrement corrigé échoue à un contrôle que réussit une build abandonnée de 2018.
Pourquoi cela dépasse une seule application
Play Integrity est devenu discrètement le ticket d'entrée à la vie ordinaire avec un téléphone. La banque, le paiement, la billetterie et un nombre croissant d'applications publiques et d'identité l'interrogent, et chacune hérite ainsi de la définition Google d'un appareil acceptable. Concrètement, choisir un système d'exploitation plus respectueux de la vie privée vous coûte l'accès à des services qui n'ont aucune dimension de confidentialité, ce qui constitue une dissuasion forte déguisée en exigence technique. La même dynamique apparaît quand un fournisseur de plateforme transforme le téléphone lui-même en pièce d'identité, comme Apple l'a fait avec la vérification d'âge obligatoire au Royaume-Uni liée à l'identifiant Apple dans iOS 26.4.
Une question de concurrence se cache aussi derrière tout cela. Si une banque européenne peut faire d'une licence Google la condition d'accès à votre propre argent, le programme de certification cesse d'être un label de qualité pour devenir un goulot d'étranglement, et les régulateurs se sont déjà intéressés à des leviers de plateforme bien plus modestes.
Que peuvent faire les utilisateurs concernés
- Conservez votre session en cours: le blocage signalé vise les nouvelles connexions, évitez donc de vous déconnecter ou de réinitialiser l'appareil tant que la situation n'est pas clarifiée.
- Utilisez l'interface web: l'accès par navigateur n'exécute pas les contrôles Play Integrity et reste le repli le plus fiable pour les opérations de compte.
- Réclamez par écrit: les tickets de support et les réclamations formelles laissent une trace, et dans l'UE comme au Royaume-Uni c'est cette trace qu'examinera un médiateur financier ou un régulateur.
- Ne déverrouillez pas le bootloader pour "réparer": un état de démarrage orange affaiblit l'appareil et n'est pas une voie de retour prise en charge.
La leçon de fond porte sur celui qui a le droit de définir un appareil de confiance. Ceux qui quittent le logiciel par défaut de la plateforme le font en général pour réduire la quantité de données collectées sur leur comportement, et c'est le même public pour qui les outils de confidentialité au niveau du réseau relèvent depuis longtemps de l'hygiène de base et non du loisir de spécialistes - d'où l'intérêt croissant pour les outils de confidentialité pour Android après chaque affaire de ce genre.
