L’urne que n’importe qui
peut auditer.
Nous ne vous demandons pas de nous croire sur parole : nous vous donnons les outils pour tout vérifier. Voici la machinerie vue de l’intérieur, avec ses termes techniques et sans petites lignes.
Modifiez un bulletin et tout cesse de concorder.
En résumé : Si quelqu’un modifie un vote, plus rien ne concorde : pendant le vote, l’administrateur et les délégués peuvent le vérifier quand ils le souhaitent, et après la clôture, n’importe qui.
Chaque vote construit un arbre de Merkle : la structure cryptographique qui fait que toute modification d’un vote est détectable par n’importe qui.
Si vous modifiez un bulletin, la racine ne concorde plus.
Chaque bulletin est une feuille d’un arbre de Merkle dont la racine est scellée à la clôture avec une autorité de temps indépendante. N’importe qui peut recalculer l’arbre avec les bulletins publiés : si la même racine ne ressort pas, le procès-verbal n’est pas celui qui a été scellé.
Les feuilles sont ordonnées par identifiant aléatoire : l’ordre d’émission n’est enregistré nulle part.
Guide : vérifiez‑le vous‑même, étape par étape →Chaque électeur peut vérifier son propre bulletin.
Lorsque vous votez, vous recevez un justificatif anonyme. Il vous permet de vérifier que votre bulletin figure dans le dépouillement final — sans révéler à personne ce pour quoi vous avez voté.
Si le vote l’active, vous pouvez également associer à votre bulletin une clé personnelle : elle vous permettra de le retrouver ensuite, une fois le vote scellé.
Comment fonctionne le justificatif →Un procès-verbal au format PDF qui révèle toute tentative de manipulation.
À la clôture, le procès-verbal est généré avec la racine de l’arbre, le sceau de temps et un QR. Scannez‑le — ou saisissez son code — et la plateforme recalcule tout sous vos yeux.
Vérifiez un procès-verbal maintenant →Les mêmes garanties, sans l’esbroufe.
Un arbre de Merkle scellé offre la même immutabilité vérifiable que celle qu’une blockchain promet, sans son coût, sa lenteur ni ses intermédiaires. Nous vous expliquons pourquoi ce n’est pas de la magie — et pourquoi vous n’en avez pas besoin.
Le mythe de la blockchain dans le vote →Détail technique
- Empreinte de chaque bulletin
- Un hachage SHA‑256 calculé à partir de son identifiant, du contenu du bulletin et de son poids dans le dépouillement.
- Arbre de Merkle
- Les empreintes sont combinées par paires jusqu’à une racine unique. Les feuilles sont ordonnées par identifiant aléatoire, jamais par ordre d’émission.
- Pendant le vote
- Chaque bulletin laisse son empreinte au moment où il est émis et est simultanément recopié dans un registre séparé de la base de données. Le contrôle d’intégrité compare bulletin, empreinte et copie : l’administrateur et les délégués peuvent le lancer quand ils le souhaitent, et il est répété automatiquement à la clôture. En cas d’écart, le procès-verbal n’est pas scellé.
- Racines intermédiaires
- Toutes les 100 bulletins ou toutes les heures, une racine intermédiaire de l’arbre est figée, en témoin de ce qui a été émis jusqu’alors.
- Horodatage
- À la clôture, la racine finale est scellée avec un sceau de temps RFC 3161 d’une autorité externe : seule son empreinte SHA‑256 circule, jamais les bulletins.
- Vérification
- Le procès-verbal contient la racine, le sceau et un QR. La vérification publique recalcule l’arbre avec les bulletins publiés et compare les racines.
Protégé en transit. Sauvegardes chiffrées.
En résumé : Vos données voyagent protégées et les sauvegardes sont conservées chiffrées. Voici exactement comment.
Un chiffrement à standard ouvert là où il protège : dans la connexion, dans l’accès et dans les sauvegardes. Voici les détails.
En transit
Les connexions avec la plateforme sont chiffrées avec TLS 1.3 (ou TLS 1.2 si votre navigateur ne le prend pas encore en charge). TLS est le protocole qui chiffre la communication entre votre navigateur et le serveur — le cadenas de la barre d’adresses —, et la version 1.3 est la plus récente et la plus robuste. Rien ne circule en clair.
Sauvegardes
Les sauvegardes quotidiennes sont chiffrées avec AES-256 avant de quitter le serveur, et aucune sauvegarde n’est jamais conservée en clair.
À l’accès
Vérification en deux étapes (2FA) pour les administrateurs, liens de vote à usage unique et mots de passe qui ne sont jamais stockés en clair. Les identifiants dans les URL sont toujours chiffrés.
Détail technique
- Protocole
- HTTPS avec TLS 1.3, ou TLS 1.2 pour les navigateurs anciens ; TLS 1.1 et versions antérieures sont refusés. L’en-tête HSTS (un an, avec sous‑domaines) empêche le navigateur de tenter à nouveau une connexion non chiffrée.
- Sauvegardes
- Export quotidien compressé et chiffré avec AES‑256‑CBC avant de quitter le serveur ; la clé est dérivée avec PBKDF2‑SHA256 sur 100 000 itérations. En l’absence de clé, la sauvegarde ne se fait pas : aucune copie n’est jamais conservée en clair.
- Mots de passe
- Ils sont stockés avec bcrypt, une fonction de hachage lente avec son propre sel : même avec un accès à la base de données, ils ne peuvent pas être lus.
- Identifiants
- Les numéros internes qui apparaissent dans les adresses web sont chiffrés avec AES‑256 et une clé distincte pour chaque zone de l’application, afin qu’ils ne puissent pas être devinés ni parcourus de manière séquentielle.
- Session et formulaires
- Cookies HttpOnly, SameSite et Secure ; l’identifiant de session est renouvelé à la connexion. Chaque formulaire et requête porte un jeton CSRF qui est renouvelé chaque heure.
- Tentatives
- Par défaut, cinq tentatives d’accès infructueuses en 15 minutes bloquent le compte. Les codes de vérification, les liens de vote et la vérification publique des procès‑verbaux sont également soumis à une limite de tentatives.
Nous savons que vous avez voté. Jamais ce que vous avez voté.
En résumé : Une fois votre vote enregistré, rien ne le relie à votre identité, et personne ne peut voter deux fois, même en passant par des chemins différents.
La corrélation est détruite au moment de l’émission du vote.
La corrélation identité ↔ contenu est détruite au moment du vote. Tables séparées, sans clé corrélable. Une fois le vote enregistré, même un administrateur disposant d’un accès complet à la base de données ne peut pas reconstituer qui a voté quoi.
Un vote par personne, quel que soit le chemin emprunté.
Il est possible de voter en se connectant avec un identifiant et un mot de passe, au moyen d’un lien personnel à usage unique ou au bureau de vote en présentiel. Les trois voies inscrivent la participation dans le même registre, qui n’accepte qu’une seule entrée par personne et par vote : celui qui a déjà voté par l’un de ces moyens ne peut pas le faire par un autre. Ce registre indique que vous avez voté, jamais ce que vous avez voté.
L’anti‑double vote, expliqué simplement →Détail technique
- Stockage
- Qui a voté et ce qui a été voté sont stockés dans des tables séparées, sans aucune clé permettant de les relier.
- Ordre d’émission
- Il n’est pas conservé : les bulletins sont identifiés par une valeur aléatoire, de sorte qu’il est impossible de croiser l’heure du vote avec l’heure d’accès.
- Double vote
- Une contrainte d’unicité (personne + vote) sur le registre de participation, dans la même transaction que celle qui enregistre le bulletin : si deux votes arrivent en même temps, un seul est accepté. Pour le vote par lien, en plus, le lien est marqué comme utilisé dans cette même transaction.
- Justificatif
- Le code de vérification est aléatoire et n’a aucun lien avec votre compte : seule la personne qui le possède peut retrouver son bulletin.
Délégués de chaque candidature, avec un accès en lecture seule.
En résumé : Chaque candidature peut avoir une personne qui suit le processus en direct, sans pouvoir y toucher.
La transparence, ce n’est pas un PDF à la fin : c’est la possibilité d’observer le processus pendant qu’il a lieu.
Un accès en lecture seule pour la personne qui surveille.
Les délégués surveillent la liste électorale, la participation et la clôture en temps réel, sans pouvoir intervenir sur l’administration. Chaque candidature peut nommer les siens.
Urne en présentiel, garanties numériques.
Pour le vote en présentiel assisté, le bureau de vote indique qui a voté et les bulletins sont introduits ensuite, sans être rattachés à personne. Le secret du vote est aussi préservé en dehors de l’écran.
- Identification Le bureau recherche la personne dans la liste électorale et la marque. À partir de ce moment‑là, elle ne peut plus voter en ligne.
- Bulletin dans l’urne Vous votez sur papier et déposez le bulletin dans l’urne physique.
- Ouverture À la fin, le bureau ouvre l’urne et compte les bulletins.
- Dépouillement Les bulletins sont saisis dans le système un par un, sans aucune donnée sur la personne qui les a émis.
- Clôture et procès-verbal Le procès-verbal compare les personnes cochées, les bulletins comptés et les bulletins saisis. S’ils coïncident, il indique « Concorde » ; sinon, il le signale à côté des observations du bureau.
Vos données sont hébergées en Europe. Et elles y restent.
En résumé : Vos données restent en Espagne, elles ne sont utilisées que pour votre vote et ne sont jamais vendues.
Tous nos serveurs sont hébergés dans des centres de données situés au sein de l’Union européenne (Espagne). Nous respectons intégralement le RGPD dès la première minute : les données de vos Votes — votes, Liste électorale et participants — sont traitées sans transferts hors de l’Espace économique européen et sans tiers. Sans petits caractères et sans surprises.
Conforme au RGPD
Nous ne traitons que les données indispensables au processus électoral, sur une base juridique claire et avec des durées de conservation définies.
Aucun transfert en dehors de l’EEE
Les données de vote ne sortent pas de l’Espace économique européen. (Si vous choisissez de vous identifier avec votre compte Google ou Microsoft, cette authentification transite par eux.)
Nous ne vendons jamais vos données
Sans publicité, sans profilage et sans cession à des tiers. Votre Liste électorale et vos résultats sont à vous — et uniquement à vous. Point.
Aucun système de vote ne protège tout.
Nous préférons vous le dire clairement. Une garantie non tenue est pire que l’absence totale de garantie.
| Risque | Est-il couvert ? | Comment |
|---|---|---|
| Qu’une personne modifie un vote après la clôture | Oui | La racine de l’arbre est scellée par un sceau de temps : n’importe qui peut la recalculer et vérifier si elle correspond. |
| Que votre vote ne soit pas comptabilisé | Oui | Avec votre code de vérification, vous vérifiez que votre bulletin figure dans le dépouillement, exactement tel que vous l’avez émis. |
| Que quelqu’un vote deux fois | Oui | Chaque personne dispose d’un accès à usage unique, qui est consommé au moment du vote. |
| Que votre identité soit reliée à votre vote une fois qu’il est enregistré | Oui | Ils sont conservés séparément, sans aucune clé permettant de les relier, et sans l’ordre dans lequel on a voté. |
| Ce qui se passe sur le serveur au moment précis du vote | En partie | Toute personne contrôlant le serveur pendant que le vote est ouvert pourrait associer électeur et bulletin avant son enregistrement. C’est pourquoi le secret vis‑à‑vis de l’exploitant de la plateforme relève d’un engagement contractuel de notre part ; vis‑à‑vis de l’organisation et des tiers, il s’agit en revanche d’une garantie technique. |
| Que quelqu’un utilise votre accès personnel | En partie | L’accès est à usage unique, mais si quelqu’un entre dans votre e‑mail ou sur votre mobile avant vous, il pourrait l’utiliser. Protégez‑les et avertissez l’organisation si vous recevez un accès que vous n’attendiez pas. |
| Qui avait le droit de voter | Non | La liste électorale est définie par l’organisation. Les délégués peuvent la vérifier avant l’ouverture du vote. |
| Un vote qui n’est jamais entré dans le système | Non | On compare ce qui est enregistré avec ce qui est scellé : ce qui n’a pas été sauvegardé ne laisse pas de vide visible. |
| Que quelqu’un vous fasse pression pendant que vous votez depuis chez vous | Non | Aucun vote à distance ne permet de l’éviter. Si c’est un risque dans votre processus, combinez le vote en ligne avec l’urne en présentiel. |
| Que votre appareil soit infecté | Non | Cela dépend de votre équipement : votez depuis un appareil à jour. |
Votre processus électoral, protégé dès le premier vote.
Choisissez votre prochaine étape.