GrapheneOS prépare un verrouillage bien plus strict du presse-papiers Android. Début septembre 2026, le projet a détaillé une fonction baptisée secure paste : une application pourra relire ce qu’elle a copié elle-même, mais plus le contenu placé dans le presse-papiers par une autre app, sauf si l’utilisateur déclenche explicitement un collage. Le code existe déjà dans une pull request ouverte depuis le 22 août, mais il n’a pas encore été fusionné ni livré aux utilisateurs.
Le changement est moins anecdotique qu’il n’en a l’air. Aujourd’hui, Android protège déjà le presse-papiers, mais de façon incomplète : depuis Android 10, seules l’application affichée à l’écran et le clavier par défaut peuvent le lire ; Android 12 ajoute une notification à la première lecture d’un contenu externe ; Android 13 l’efface automatiquement après un délai. Le trou restant, c’est l’application au premier plan qui lit silencieusement ce que vous venez de copier. C’est précisément ce que secure paste veut fermer.
Pour GrapheneOS, l’idée s’inscrit dans une logique de durcissement déjà visible ailleurs sur le système, comme sa compartimentation des services Google. Sur ce terrain, le projet pousse encore plus loin que l’Android de base, comme on l’expliquait déjà sur TechPi à propos des approches de sécurité mobile centrées sur l’isolation.
Avec secure paste, une app au premier plan ne pourra plus aspirer le contenu du presse-papiers Android
La bascule est simple sur le papier et profonde dans ses effets. Avec secure paste, une application ne reçoit plus automatiquement le contenu du presse-papiers, même si elle est ouverte à l’écran. Elle peut seulement savoir qu’un élément existe, et récupérer quelques métadonnées : le type de contenu, l’horodatage de la copie ou la présence de mise en forme.
En revanche, le texte lui-même, les données brutes et les métadonnées riches restent invisibles tant que l’utilisateur n’a pas collé. Autrement dit, une app ne pourra plus surveiller les URL, les codes, les montants ou les identifiants copiés depuis une autre application simplement parce qu’elle a le focus.
Le collage, lui, continue de fonctionner. Mais il passe par une autorisation éphémère, accordée uniquement au moment de l’action et liée à l’application qui reçoit le contenu ainsi qu’à l’élément précis du presse-papiers. GrapheneOS indique prendre en charge les principaux canaux de collage :
- la barre de sélection de texte standard d’Android ;
- le clavier par défaut et les autres claviers ;
- les services d’accessibilité ;
- les raccourcis clavier physiques comme Ctrl+V.
Le projet a aussi prévu le cas des applications qui dessinent leur propre barre de sélection, notamment celles développées avec Flutter : un bouton « Coller » reste accessible via le clavier par défaut. L’objectif est clair : durcir la sécurité sans transformer l’opération la plus banale du smartphone en parcours d’obstacles.
Le cas SHEIN montre pourquoi le modèle actuel du presse-papiers Android reste poreux
Si GrapheneOS change les règles, c’est parce qu’Android stock laisse encore passer des comportements problématiques. Microsoft l’a documenté le 6 mars 2023 avec la version 7.9.2 de l’application SHEIN, téléchargée à plus de 100 millions d’exemplaires sur Android. L’app lisait périodiquement le presse-papiers et envoyait son contenu vers un serveur distant lorsqu’elle y trouvait à la fois un symbole « $ » et la séquence « :// ».
Le point important n’est pas seulement le comportement de SHEIN, retiré après signalement à Google en mai 2022. C’est le fait qu’Android 10 ne pouvait pas l’empêcher, puisque l’application était au premier plan. Aucune permission spéciale n’était nécessaire pour cette lecture : l’API du presse-papiers suffisait.
Microsoft ne concluait pas à une intention malveillante explicite, mais jugeait ce comportement non nécessaire au fonctionnement normal de l’application. Et c’est exactement le problème systémique : une app populaire, non classée comme malware, peut exploiter le presse-papiers pour capter des données sensibles sans déclencher d’alerte bloquante. La notification ajoutée par Android 12 améliore la visibilité, mais elle n’empêche rien. Secure paste change cette logique : il bloque d’abord, puis n’ouvre qu’au moment du collage.
Dans les usages concrets, le gain est évident. Les contenus les plus exposés sur un presse-papiers mobile ne sont pas théoriques : liens de paiement, extraits de mails, codes 2FA, coordonnées bancaires, adresses crypto, bouts de documents internes. Sur un Android standard, une app affichée à l’écran peut encore tenter de les lire. Sur GrapheneOS avec secure paste activé, elle ne verrait plus ces données sans action explicite de l’utilisateur.
GrapheneOS laisse le choix à l’utilisateur, avec un réglage global et par application
GrapheneOS ne va toutefois pas imposer ce nouveau comportement à tout le monde du jour au lendemain. Le projet prévoit un réglage global et par application, avec un cas particulier pour l’action « couper ». Par défaut, cette capacité restera autorisée afin d’éviter de casser le fonctionnement des applications déjà installées.
En clair, secure paste sera un durcissement opt-in. L’utilisateur devra activer lui-même les restrictions les plus fortes pour les apps qu’il juge peu fiables. C’est un compromis classique chez GrapheneOS : privilégier une protection fine et ciblable plutôt qu’une rupture brutale de compatibilité.
Cette granularité a un intérêt pratique. Elle permet de conserver un fonctionnement plus souple pour les outils auxquels on fait confiance — par exemple certains utilitaires ou gestionnaires — et de verrouiller plus sévèrement les catégories d’apps réputées curieuses, comme le shopping, les jeux ou des services au modèle de collecte de données opaque.
Il reste une limite importante : secure paste ne traite que la lecture. Les applications pourront toujours écrire dans le presse-papiers, y compris pour remplacer ce que l’utilisateur vient de copier. Les scénarios de substitution de contenu, comme le remplacement d’une adresse de transaction, ne sont donc pas couverts à ce stade.
Le chantier du presse-papiers s’accompagne d’une refonte de Messaging et d’un pari sur le RCS
L’annonce de secure paste s’inscrit dans un chantier plus large. GrapheneOS refond son application Messaging avec une interface reconstruite en Jetpack Compose et veut y intégrer à terme le RCS avec chiffrement de bout en bout, pour réduire la dépendance à Google Messages.
Aujourd’hui, le RCS fonctionne sur GrapheneOS via Google Messages, avec Google Play Services dans un environnement isolé. Le projet veut d’abord reproduire dans sa propre app la partie cliente, tout en gardant Google Play isolé pour l’activation initiale. Ensuite seulement, l’idée serait de s’en affranchir là où les opérateurs l’acceptent.
Le conditionnel est de mise, parce que le chantier dépend d’acteurs externes. GrapheneOS a confirmé son intention, mais n’a donné aucun calendrier. Et la route est étroite : le RCS n’est pas aussi ouvert que le SMS ou le MMS dans la pratique, puisqu’il repose sur l’infrastructure de Google et des opérateurs. Depuis 2024, Google a par ailleurs commencé à bloquer le RCS sur les téléphones rootés et certaines ROM alternatives, ce qui donne une idée de l’accueil réservé aux clients non officiels.
GrapheneOS échappe à ce blocage en l’état, mais cela ne garantit pas qu’un client RCS maison sera accepté partout. Pour l’instant, ce qui est confirmé, c’est la refonte de Messaging, l’existence de secure paste comme future fonctionnalité système et l’ambition d’ajouter le RCS sans passer par Google Messages. Le reste dépendra autant de la technique que de la politique de plateforme.
La prochaine étape à surveiller est donc très concrète : la fusion, ou non, de la pull request ouverte le 22 août. Tant qu’elle n’est pas intégrée, secure paste reste une promesse officielle. Si elle arrive dans GrapheneOS dans les prochaines versions, ce sera l’un des changements les plus intéressants du moment sur la sécurité du presse-papiers Android.
