Casi todas las plataformas de voto online prometen que el resultado es verificable. Muy pocas explican qué significa eso exactamente, y menos aún te dan las herramientas para hacerlo sin pedirles permiso. Este artículo explica las tres cosas que puede comprobar cualquiera desde fuera de la organización — un votante, un interventor, un periodista — y, con la misma claridad, las que no.
"Confía en nosotros" no es auditoría
Una auditoría que depende de que el auditado te dé acceso no es una auditoría: es una visita guiada. Si la única forma de verificar una votación es que el administrador te enseñe su panel, lo que estás verificando es su buena voluntad.
Por eso el material de verificación de Demokratian es público y anónimo: no hace falta sesión, ni credenciales, ni pedirle nada a nadie. Son tres piezas independientes que se refuerzan entre sí.
1. Comprobar que el PDF que tienes es el bueno
Es la comprobación más útil para alguien de fuera, porque no exige entender nada de criptografía. Cuando se cierra el recuento, la plataforma genera el PDF de resultados y guarda su huella digital — su SHA-256 — sellada junto al resto de la votación.
En el portal público de verificación puedes subir el PDF que te ha llegado. El sistema calcula su huella y la compara con la sellada. El resultado no admite interpretación: o el documento que tienes en la mano es exactamente el que se selló, o no lo es.
Si tienes a mano el código del acta, compruébalo ahora mismo en la herramienta de verificación.
El mismo portal muestra el sello de recuento, el sello de tiempo de la autoridad externa (TSA) que deja constancia de cuándo se cerró, la fecha del recuento y un diagnóstico del estado de la votación: cuántas papeletas cubre el sello y si el conjunto es coherente.
Se llega desde el código QR y la dirección impresos en el propio PDF de resultados, y también desde el enlace "Comprueba este sello por tu cuenta" de la página pública de la votación.
2. La lista pública de votos
Al cerrar el recuento se publica la lista completa de papeletas. De cada una se muestra:
- Identificador: una referencia aleatoria, sin relación con el votante, que funciona como el localizador de esa papeleta.
- Contenido del voto: qué se votó.
- Huella de la papeleta: el hash que la sella y que sirve para rehacer el cálculo completo.
- Ponderación: el peso de ese voto en el recuento, cuando procede.
- Tipo y estado: si fue telemático o presencial en urna, y si su sello es correcto.
Con esa lista, cualquiera puede contar los votos a mano y llegar al mismo resultado que la plataforma. No hace falta ninguna herramienta nuestra ni ningún formato propietario.
¿Y cómo encuentro el mío?
Al votar, la pantalla de confirmación te da siempre el identificador de tu papeleta (el «código» de la pantalla): 64 caracteres hexadecimales. Guárdalo: con él vas a la lista pública y compruebas que tu voto está ahí. Nadie más lo retiene, así que, si no lo guardaste, el sistema no puede dártelo después. Hay dos opciones, cada una para una cosa.
Opción 1: recuperar el identificador con una clave que eliges tú. Solo si la votación tiene activada la comprobación posterior: al votar se te pide una clave que puedas recordar.
En el mismo portal de verificación introduces esa clave y el sistema te devuelve el identificador de tu papeleta. Con él vas a la lista pública y compruebas que tu voto está ahí, con el contenido que le diste.
La clave nunca se guarda tal cual, y no queda ligada a tu identidad: solo sirve para encontrar una fila en una lista que ya es pública.
Opción 2: demostrar que tu papeleta es la que emitiste, con la clave de resguardo. No depende de que el organizador active nada, pero necesitas el identificador de la opción anterior o el que te dio la pantalla. Al emitir el voto, la pantalla de confirmación te enseña —una sola vez— una clave de 32 caracteres, generada al azar en ese momento y que no se guarda en ninguna parte. No es lo mismo que el identificador: el identificador (64 caracteres) señala tu papeleta en la lista pública; la clave de resguardo (32) es un secreto tuyo para demostrar que esa papeleta es la que emitiste. Con el identificador y esa clave, el portal público te confirma que tu papeleta está registrada tal y como la emitiste, y te dice cuál fue el primer testigo del árbol que ya la cubría.
3. El sello en la página pública de la votación
Si la organización ha publicado la votación como página pública, ahí aparecen también el sello del recuento y el sello de tiempo. Es la vía más directa: no hace falta descargar nada para ver con qué huella quedó cerrada la votación y a qué hora quedó sellada.
Rehacer el cálculo tú mismo
Aquí está la diferencia entre "verificable" como argumento de venta y verificable de verdad: publicamos el algoritmo exacto, paso a paso, para que cualquiera con conocimientos de programación pueda recalcular el sello desde los datos públicos y comprobar que coincide. Los pasos aparecen también en la propia lista de votos, en un bloque desplegable.
- Huella de cada papeleta: se calcula el
SHA-256del identificador, el contenido del voto y su peso, unidos por el carácter+. El peso va siempre con cinco decimales y punto como separador —1.00000—, porque escribirlo de otra forma daría un hash distinto y haría que una papeleta correcta pareciese manipulada. - Orden canónico: las huellas se ordenan por identificador de menor a mayor, comparando como texto. Como el identificador es aleatorio, el resultado no depende del orden en que se emitieron los votos ni del orden en que los devuelva la base de datos.
- Nivel de hojas: a cada huella se le antepone un byte
0x00y se vuelve a aplicar SHA-256. Ese byte separa las hojas de los nodos internos y evita un ataque clásico contra este tipo de árboles. - Niveles superiores: se combinan de dos en dos, anteponiendo un byte
0x01al par. Si en un nivel queda un número impar de elementos, el último sube tal cual, sin duplicarse. - Raíz: se repite hasta que solo queda un valor. Ese valor debe coincidir, carácter por carácter, con el sello publicado.
Si coincide, las papeletas que ves son exactamente las que se sellaron al cerrar la votación, y ninguna se ha alterado desde entonces. Si no coincide, algo ha cambiado — y eso es precisamente lo que se quiere poder detectar.
Qué NO permite comprobar
Esta es la parte que casi nadie publica, y es la más importante. Una promesa de verificación que no se cumple es peor que no prometer nada: genera una confianza que no está respaldada.
- No demuestra que el censo sea correcto, ni que quien votó tuviera derecho a hacerlo. El sello garantiza que las papeletas no se han alterado desde que se emitieron, no quién las emitió. La integridad del censo es responsabilidad de la organización, y se vigila con otras herramientas — interventores, logs de auditoría, control de acceso.
- No detecta una papeleta que nunca llegó a entrar. La verificación cruza lo registrado con lo sellado; un voto que no se guardó no deja un hueco visible en el árbol. Para eso están las copias independientes y las papeletas que se envían por lotes a los interventores mientras la votación sigue abierta.
- No permite saber a quién corresponde cada voto — y ese es justamente el objetivo, no una limitación. Los identificadores son aleatorios e independientes del votante a propósito.
- En votaciones con coeficiente individual, no se puede recalcular la huella desde el contenido de la papeleta, porque falta el peso. El sello global sí se puede rehacer, a partir de las huellas publicadas.
Por qué publicamos también los límites
Porque un sistema de voto que solo enseña lo que le favorece está pidiendo el mismo acto de fe que dice combatir. Si te decimos qué garantiza el sello y qué no, puedes decidir tú si esas garantías te bastan para el proceso que tienes entre manos — y qué medidas complementarias necesitas: interventores independientes, urna presencial, doble verificación del censo.
"Una verificación honesta es la que te dice dónde termina."
La transparencia no es publicar mucho. Es publicar lo suficiente para que alguien que desconfíe de ti pueda comprobarlo sin ti.