Portal de Interventores: cómo funciona y por qué es único

En cualquier elección presencial seria hay interventores: personas designadas por las distintas candidaturas o partes interesadas que vigilan que el proceso se desarrolle correctamente. Demokratian es la única plataforma de votación online que reproduce esa figura como un módulo de primera clase.

Qué es un interventor — y por qué importa

Un interventor es alguien independiente del organizador que verifica que la votación se desarrolla limpiamente. No vota, no decide; observa y comprueba. Su sola presencia es lo que convierte un escrutinio interno en un escrutinio creíble.

En el voto online tradicional este rol simplemente no existe. El administrador tiene poder absoluto sobre el proceso: puede ver el censo, puede ver los votos emitidos, puede modificar la configuración. Si el resultado se cuestiona, no hay tercero independiente que pueda decir "yo lo vi".

Cómo lo resuelven otras plataformas (mal)

La mayoría de herramientas de voto online intentan compensar esta falta con tres estrategias, todas insuficientes:

• Encriptación asimétrica opaca: "confía en el algoritmo". Pero las claves están en el mismo servidor que controla el administrador.
• Auditoría posterior: exportas un PDF al final. Si el administrador manipuló durante el proceso, ya es tarde.
• "Autoridad externa de cifrado": una empresa tercera da su visto bueno. Que pagas tú. Y que normalmente solo firma un sello.

Cómo funciona el portal en Demokratian

El portal de interventores es una aplicación separada del panel de administración, con autenticación propia y URL diferente. El administrador de la web de votaciones designa quiénes son interventores e introduce sus emails. Cada uno recibe credenciales que solo sirven para entrar al portal de interventores.

Una vez dentro, los interventores pueden:

• Ver en tiempo real cuántos votos se han emitido
• Recalcular el árbol de sellos (árbol de Merkle) y verificar que ninguna papeleta se ha alterado
• Recibir por correo las papeletas emitidas, anónimas y agrupadas en lotes, si el administrador les activa ese permiso (la "copia en papel")
• Acceder a los logs de configuración: si el administrador toca algo, queda registrado
• Firmar el acta de cierre cuando termina la votación

Qué puede ver un interventor — y qué nunca verá

Diseñamos los permisos con un principio simple: un interventor debe poder comprobar todo el proceso, pero nunca debe poder identificar a un votante con su voto.

• Sí ve: número de votos, hash de cada voto, el día en que se emitió —no la hora, que revelaría el orden de llegada—, configuración de la votación, log de cambios del administrador.
• No ve: el censo nominal, qué ha votado cada persona, datos personales de los votantes.

El secreto del voto se mantiene incluso frente al interventor. Esto es importante: en una votación presencial, el interventor tampoco ve la papeleta del votante.

Voto presencial asistido por urna digital

El portal soporta también un escenario muy específico: votación presencial gestionada digitalmente. Los votantes acuden físicamente, los interventores comprueban su identidad contra el censo, y el voto se registra en la urna digital — con el interventor presente.

Es útil para asambleas mixtas: una parte vota desde casa, otra parte acude presencialmente. Todo cuenta en el mismo recuento.

Aquí está la garantía que hace creíble a la urna digital, y es la que reproduce mejor el funcionamiento de una mesa de verdad: ningún interventor puede meter papeletas por su cuenta. Al configurar la votación se fija cuántos interventores hacen falta para constituir la mesa, y ese número tiene un significado muy literal: si pones 3, tienen que autenticarse tres interventores distintos, uno detrás de otro, en el mismo ordenador, antes de que el sistema permita registrar una sola papeleta.

Cada uno introduce sus propias credenciales. Hasta que no está el número completo, las funciones de urna no se activan. Y a partir de ahí, cada papeleta que entra queda registrada con los nombres de todos los interventores que constituyeron esa mesa, no con el de quien pulsó el botón.

Los interventores que solo tienen permiso de estadísticas o de verificación de integridad no necesitan esa constitución: entran solos, porque no pueden tocar la urna.

El proceso en la mesa tiene dos pasos, como en una elección presencial: primero se identifica a la persona contra el censo, y después se registra su papeleta. Entre uno y otro puede pasar un rato, y alguien puede identificarse y marcharse sin llegar a votar. El acta refleja las tres cifras por separado — atendidos, papeletas en la urna e identificados sin papeleta — y solo avisa en rojo cuando el número de papeletas no cuadra con el de personas que constan como votantes, que es el único descuadre que indica que algo ha entrado o desaparecido fuera del proceso.

Quién cierra la urna, y por qué no es un detalle

Una votación online se cierra sola a la hora prevista. Una urna, no: cuando llega la hora todavía quedan papeletas por registrar, y en una organización repartida por varias ciudades puede haber varias mesas trabajando a la vez. Por eso en Demokratian los interventores pueden seguir registrando votos después de la hora de cierre, y la votación no se sella hasta que la mesa lo dice.

El cierre es un acto único que afecta a todas las mesas: a partir de ese momento nadie registra nada más y la votación queda lista para sellarse criptográficamente. Como es un acto grave, lo ejecuta la mesa central: un grupo de interventores designados expresamente para eso, que además debe reunirse con el mismo quórum que cualquier otra mesa. Si no se designa ninguna mesa central, puede cerrar cualquier mesa que tenga el quórum completo.

Antes de confirmar, la pantalla de cierre muestra cuánta actividad ha habido en los últimos minutos, para que la mesa central no corte a una sede que todavía esté atendiendo gente. Y si la mesa central no llega a constituirse, hay dos salvaguardas: un administrador puede cerrar la urna desde el panel, y pasado un plazo máximo el sistema la sella igualmente y avisa por correo — porque una votación sin sellar se queda sin la evidencia fechada que la protege.

Configurar interventores en 6 pasos

1. En el panel de administración, abre la votación → Interventores
2. Añade los emails de las personas designadas (mínimo 1, recomendado 3+)
3. Marca qué permisos tiene cada una: registrar votos de urna, ver estadísticas, verificar la integridad y — si hay urna — pertenecer a la mesa central que puede cerrarla
4. Si hay urna, indica cuántos interventores tienen que estar autenticados a la vez para poder registrar papeletas. Es el quórum de la mesa: con 3, harán falta tres logins seguidos en el mismo equipo antes de empezar
5. Activa qué notificaciones reciben (alta de voto, cambios de configuración, cierre)
6. Envía las credenciales. Cada interventor recibe un email con su acceso al portal.

Por qué esto da legitimidad real

Volvemos al principio: una votación es legítima cuando las partes que pierden aceptan el resultado. Y eso solo pasa si confían en el proceso.

Con un portal de interventores cualquier candidatura puede tener su propio observador técnico viendo lo mismo que ven los demás. Si al final hay discrepancia, hay testigos independientes con acceso a los datos, no solo la palabra del administrador.

Esto es lo que diferencia una herramienta de votación seria de una encuesta dressed up.