En una votación secreta bien hecha, ni el administrador ni la plataforma pueden saber qué has votado. Muy bien. Pero entonces surge la pregunta incómoda: si nadie puede relacionarte con tu papeleta, ¿cómo compruebas tú que tu voto llegó al recuento? Este artículo explica el mecanismo, que son en realidad tres, y todos se apoyan en el primero.
La paradoja aparente
Parece una contradicción, pero no lo es. La papeleta no está ligada a tu identidad en el sistema — ahí no hay ninguna columna que una una cosa con la otra. Lo que sí existe es un localizador de esa papeleta concreta, y ese localizador lo tienes tú y solo tú.
Es exactamente el mismo principio que el resguardo de un guardarropa: el número del ticket no dice de quién es el abrigo. Quien encuentre el ticket tirado en el suelo no sabe a quién pertenece. Pero tú, que lo llevas en el bolsillo, puedes ir y comprobar que tu abrigo sigue ahí.
1. El código de tu voto (siempre)
En cuanto emites tu voto, la pantalla de confirmación te muestra un código alfanumérico único de 64 caracteres y te invita a guardarlo. Es el identificador de tu papeleta, y aparece en todas las votaciones, sin que el organizador tenga que configurar nada.
Cuando se publica el recuento, la lista de votos incluye ese código junto a lo que se votó. Buscas el tuyo —la lista tiene su propio buscador— y ves tu papeleta, con el contenido que le diste, formando parte del resultado.
2. La clave que eliges tú (si el organizador la activa)
Aquí está el problema práctico: el código es una cadena larga de letras y números que nadie memoriza, y mucha gente cierra la pestaña sin copiarlo. Perderlo significaba quedarse sin resguardo.
Por eso existe un segundo mecanismo, que se añade al primero sin sustituirlo. Si el organizador activa la comprobación de voto en esa votación, al votar se te pide además que elijas tú una clave. Una cualquiera, la que puedas recordar.
Con esa clave llegas a tu papeleta aunque hayas perdido el código. Y funciona de dos maneras: desde tu cuenta te enseña la papeleta directamente, con las opciones que elegiste escritas con su nombre; desde el portal público te devuelve el código, para que lo busques tú en la lista. La clave no reemplaza al resguardo: es la forma de volver a él.
La clave se guarda cifrada en un solo sentido, nunca en claro. Ni el administrador de tu organización ni nosotros podemos leerla, ni buscar votos por ella, ni deducir cuál elegiste. El sistema solo sabe comparar si la que escribes coincide.
Por qué tiene que ser única — y qué pasa si la tuya está cogida
Dentro de una misma votación, dos personas no pueden usar la misma clave: si dos papeletas respondieran a la misma, el sistema no sabría cuál devolver y el resguardo dejaría de identificar nada.
Así que si eliges una clave que otro votante ya usó, el sistema te lo dice y te pide otra. No te revela quién la usó, evidentemente — solo que ese hueco está ocupado.
3. La clave de resguardo (siempre)
Los dos mecanismos anteriores te llevan a tu papeleta dentro de la lista publicada, que solo existe cuando se cierra el recuento. El tercero responde a otra pregunta, y responde antes: ¿está mi papeleta dentro de lo que el sistema ha sellado?
Al confirmar el voto, junto al código se te enseña —una sola vez— una clave de resguardo de 32 caracteres. No es el código de arriba (ese, de 64, localiza tu papeleta en la lista; esta, de 32, es un secreto tuyo para demostrar que es la que emitiste). No la eliges tú y no la guarda nadie: se genera al azar en ese instante y solo existe en tu pantalla. Sale siempre, en todas las votaciones, sin que el organizador tenga que activar nada.
Lo que el sistema sí guarda es el resguardo: el resultado de combinar la huella de tu papeleta con esa clave. Y lo guarda en una tabla aparte sin ninguna columna que lo enlace con la papeleta. Sin la clave, nadie —tampoco quien tenga la base de datos delante— puede saber a qué papeleta corresponde cada resguardo.
En el portal público de verificación pegas el código y la clave, y el sistema te dice si tu papeleta está registrada tal y como la emitiste, a qué hora quedó constancia de ella, y cuál fue el primer testigo del árbol que ya la cubría.
Esta es la razón de que las horas se guarden aquí y no junto a la papeleta. La hora de un resguardo no dice nada de ninguna papeleta concreta, así que se puede guardar sin coste. La hora de una papeleta, en cambio, revelaría el orden de emisión — y ese orden, cruzado con la hora en que participó cada persona, deshace el secreto del voto.
Cómo se usa cuando se publica el recuento
Hay cuatro caminos, y puedes usar el que te resulte más cómodo:
- Desde tu cuenta, con la clave. Es el más directo: escribes la clave que elegiste y el sistema te muestra tu papeleta tal y como la emitiste — las opciones con su nombre, en el orden que les diste y con sus puntuaciones si el sistema de recuento las usa, o «voto en blanco» / «voto nulo» si fue el caso. No tienes que interpretar ningún código.
- Desde el portal público, con la clave. Sin iniciar sesión, escribes la clave y el sistema te devuelve el código de tu papeleta. Con ese código vas a la lista de votos publicada y la localizas en el buscador.
- Con el código, si lo guardaste. Vas directamente a la lista publicada y lo pegas en el buscador. No necesitas ni clave ni cuenta.
- Con el código y la clave de resguardo. En el portal público, sin cuenta, en cuanto la votación está sellada. Te dice además bajo qué testigo del árbol quedó tu papeleta.
Los dos últimos no requieren iniciar sesión ni pedirle nada a la organización: puedes hacerlo desde cualquier navegador, y de hecho puedes pedirle a otra persona que lo compruebe contigo delante.
Lo que este resguardo no hace
Conviene decirlo con la misma claridad, porque un resguardo mal entendido da una confianza que no corresponde:
- No demuestra que el recuento global sea correcto. Prueba que tu papeleta está y está intacta. Comprobar el conjunto es otra cosa, y tiene sus propias herramientas.
- No detecta el voto que falta de otro. Si la papeleta de otra persona nunca llegó a entrar, tu resguardo no lo refleja: solo habla de la tuya.
- No te protege frente a quien te presione para enseñarlo. Conviene decirlo claro: la lista publica el contenido de cada papeleta junto a su código, así que quien tenga tu código —o tu clave— puede ver qué votaste. El resguardo demuestra tu voto ante ti, y por la misma razón puede demostrarlo ante otro.
- Si pierdes el código y la clave, no hay recuperación posible. No es un fallo de diseño: es el precio exacto del anonimato. No podemos devolverte algo que, por construcción, no sabemos que es tuyo.
El tercer punto merece explicación, porque no es un descuido sino un dilema conocido y sin solución sencilla: una prueba que te convenza a ti de que tu voto está bien contado sirve, por su propia naturaleza, para convencer a otro. Las dos cosas son la misma prueba. Evitarlo exige criptografía avanzada —cifrado homomórfico, pruebas de conocimiento cero— que sustituye un problema por otro: nadie sin formación especializada puede auditarla, y vuelves a tener que confiar en el algoritmo.
Demokratian elige el lado de la verificabilidad comprobable por cualquiera. Es coherente con el resto del diseño, pero conviene saber qué se paga por ello. Lo que sí protege siempre, active el organizador la comprobación de voto o no, es lo importante: el sistema no puede relacionar tu identidad con tu papeleta. Nadie puede partir de tu nombre y llegar a tu voto. El único que puede enseñar tu resguardo eres tú.
Para organizadores: actívalo
El código de voto sale siempre. La clave de recuperación es una casilla —Con comprobación de voto— que se marca al crear la votación.
Nuestra recomendación es activarla salvo que tengas un motivo concreto para no hacerlo. No cuesta nada y cambia mucho el número de personas que acaban comprobando su voto de verdad: la diferencia entre "guarda estos 64 caracteres" y "elige una clave que recuerdes" es la diferencia entre una garantía teórica y una que la gente usa.
Fuera de ese caso, un proceso que la gente puede comprobar es un proceso que la gente acepta, también cuando pierde.