A Urna que calquera
pode auditar.
Non lle pedimos que confíe na nosa palabra: dámoslle as ferramentas para comprobar todo. Esta é a maquinaría por dentro, cos seus nomes técnicos e sen letra pequena.
Cambie unha papeleta e todo deixa de cadrar.
En resumo: Se alguén cambia un voto, deixa de cadrar: durante a votación, o comproban o administrador e os interventores cando queiran, e tras o peche, calquera.
Cada votación constrúe unha árbore de Merkle: a estrutura criptográfica que fai que calquera cambio nun voto sexa detectábel por calquera.
Cambia unha papeleta e a raíz deixa de cadrar.
Cada papeleta é unha folla dunha árbore de Merkle cuxa raíz se sela ao peche cunha autoridade de tempo independente. Calquera pode recalcular a árbore coas papeletas publicadas: se non sae a mesma raíz, a acta non é a que se selou.
As follas ordénanse por identificador aleatorio: a orde de emisión non se garda en ningunha parte.
Guía: vérifiqueo vostede mesmo, paso a paso →Cada votante pode comprobar a súa propia papeleta.
Ao votar recibe un resgardo anónimo. Co resgardo comproba que a súa papeleta está no escrutinio final — sen revelar a ninguén que votou.
Se a votación o ten activado, tamén pode poñerlle á súa papeleta unha chave persoal: con ela poderá atopar a súa papeleta despois, cando a votación estea selada.
Como funciona o resgardo →Unha acta en PDF que delata calquera manipulación.
Ao peche xérase a acta coa raíz da árbore, o selo de tempo e un QR. Escanéeo —ou introduza o seu código— e a plataforma recalcula todo diante de vostede.
Comprobe unha acta agora →As mesmas garantías, sen o fume.
Unha árbore de Merkle selada ofrece a mesma inmutabilidade verificábel que promete unha blockchain, sen o seu custo, a súa lentitude nin os seus intermediarios. Contámoslle por que non é maxia — e por que non a necesita.
O mito da blockchain no voto →Detalle técnico
- Pegada de cada papeleta
- Un hash SHA-256 calculado sobre o seu identificador, o contido da papeleta e o seu peso no escrutinio.
- Árbore de Merkle
- As pegadas combínanse por pares ata unha única raíz. As follas ordénanse por identificador aleatorio, nunca por orde de emisión.
- Mentres se vota
- Cada papeleta deixa a súa pegada ao emitirse e cópiase nese mesmo momento nun rexistro aparte da base de datos. A comprobación de integridade compara papeleta, pegada e copia: lánzana o administrador e os interventores cando queren e repítese soa ao peche. Se algo non cadra, a acta non se sela.
- Raíces intermedias
- Cada 100 papeletas ou cada hora fíxase unha raíz intermedia da árbore, como testemuña do emitido ata ese momento.
- Selo de tempo
- Ao peche, a raíz final sélase cun selo de tempo RFC 3161 dunha autoridade externa: só viaxa a súa pegada SHA-256, nunca as papeletas.
- Comprobación
- A acta leva a raíz, o selo e un QR. A verificación pública recalcula a árbore coas papeletas publicadas e compara as raíces.
Protexido en tránsito. Copias cifradas.
En resumo: Os teus datos viaxan protexidos e as copias de seguridade gárdanse cifradas. Aquí cóntámosche exactamente como.
Cifrado de estándar aberto onde protexe: na conexión, no acceso e nas copias. Estes son os detalles.
En tránsito
As conexións coa plataforma van cifradas con TLS 1.3 (ou TLS 1.2 se o seu navegador aínda non o admite). TLS é o protocolo que cifra a comunicación entre o seu navegador e o servidor —o candado da barra de enderezos—, e a versión 1.3 é a máis recente e a máis robusta. Nada viaxa en claro.
Copias de seguridade
As copias de seguridade diarias cífranse con AES-256 antes de saír do servidor, e nunca se garda unha copia sen cifrar.
No acceso
Verificación en dous pasos (2FA) para administradores, ligazóns de voto dun só uso e contrasinais que nunca se gardan en claro. Os identificadores nas URL van sempre cifrados.
Detalle técnico
- Protocolo
- HTTPS con TLS 1.3, ou TLS 1.2 para navegadores antigos; TLS 1.1 e anteriores rexéitanse. A cabeceira HSTS (un ano, con subdominios) fai que o navegador non volva intentar unha conexión sen cifrar.
- Copias de seguridade
- Volcado diario comprimido e cifrado con AES-256-CBC antes de saír do servidor; a chave dérivase con PBKDF2-SHA256 de 100.000 iteracións. Se falta a chave, a copia non se fai: nunca se garda unha copia en claro.
- Contrasinais
- Gárdanse con bcrypt, un hash lento con sal propia: nin sequera con acceso á base de datos se poden ler.
- Identificadores
- Os números internos que aparecen nos enderezos web van cifrados con AES-256 e unha chave distinta para cada zona da aplicación, para que non se poidan adiviñar nin percorrer.
- Sesión e formularios
- Cookies HttpOnly, SameSite e Secure; o identificador de sesión renóvase ao entrar. Cada formulario e petición leva un token CSRF que rota cada hora.
- Intentos
- Por defecto, cinco accesos fallidos en 15 minutos bloquean a conta. Os códigos de verificación, as ligazóns de voto e a comprobación pública de actas tamén teñen límite de intentos.
Sabemos que votou. Nunca o que votou.
En resumo: Unha vez rexistrado o seu voto, nada o une á súa identidade, e ninguén pode votar dúas veces, nin sequera por camiños distintos.
A correlación destrúese ao emitir o voto.
A correlación identidade ↔ contido destrúese no momento da emisión. Táboas separadas, sen chave que as poida correlacionar. Unha vez rexistrado o voto, nin un administrador con acceso total á base de datos pode reconstruír quen votou que.
Un voto por persoa, entre por onde entre.
Pódese votar accedendo con usuario e contrasinal, cunha ligazón persoal dun só uso ou na mesa presencial. Os tres camiños anotan a participación no mesmo rexistro, que só admite unha entrada por persoa e votación: quen xa votou por un non pode facelo por outro. Ese rexistro di que votou, nunca o que.
O anti dobre voto, explicado de xeito sinxelo →Detalle técnico
- Almacenamento
- Quen votou e o que se votou gárdanse en táboas separadas, sen ningunha chave que as relacione.
- Orde de emisión
- Non se garda: as papeletas identifícanse cun valor aleatorio, así que non se pode cruzar a hora de voto coa hora de acceso.
- Dobre voto
- Unha restrición única (persoa + votación) no rexistro de participación, dentro da mesma transacción que garda a papeleta: se chegan dous votos á vez, só entra un. No voto por ligazón, ademais, a ligazón márcase como usada nesa mesma transacción.
- Resgardo
- O código de verificación é aleatorio e non ten relación coa súa conta: só quen o ten pode atopar a súa papeleta.
Interventores de cada candidatura, con acceso só de lectura.
En resumo: Cada candidatura pode ter a alguén a seguir o proceso en directo, sen poder tocalo.
A transparencia non é un PDF ao final: é poder mirar o proceso mentres ocorre.
Un acceso só de lectura para quen vixía.
Os interventores monitorizan o censo, a participación e o peche en tempo real, sen poder tocar a administración. Cada candidatura pode nomear os seus.
Urna presencial, garantías dixitais.
Para o voto presencial asistido, a mesa electoral marca quen votou e as papeletas introdúcense despois, sen ligalas a ninguén. O segredo do voto mantense tamén fóra da pantalla.
- Identificación A mesa busca a persoa no censo e márcaa. Desde ese momento xa non pode votar en liña.
- Papeleta na urna Vote en papel e deposite a papeleta na urna física.
- Apertura Ao rematar, a mesa abre a urna e conta as papeletas.
- Escrutinio As papeletas introdúcense unha a unha, sen ningún dato de quen as emitiu.
- Peche e acta A acta compara persoas marcadas, papeletas contadas e papeletas introducidas. Se coinciden, indica «Cadra»; se non, indícao xunto coas notas da mesa.
Os seus datos viven en Europa. E quedan aquí.
En resumo: Os seus datos quedan en España, só se usan para a súa votación e nunca se venden.
Todos os nosos servidores están aloxados en centros de datos dentro da Unión Europea (España). Cumprimos integramente o RGPD desde o primeiro minuto: os datos das súas votacións —votos, censo e participantes— procésanse sen transferencias fóra do Espazo Económico Europeo e sen terceiros. Sen letra pequena e sen sorpresas.
Conforme ao RGPD
Tratamos só os datos imprescindibles para o proceso electoral, con base xurídica clara e prazos de conservación definidos.
Ningunha transferencia fóra do EEE
Os datos de votación non saen do Espazo Económico Europeo. (Se escolle identificarse coa súa conta de Google ou Microsoft, esa autenticación pasa por eles.)
Nunca vendemos os seus datos
Sen publicidade, sen perfilado e sen cesión a terceiros. O seu censo e os seus resultados son seus — e só seus. Punto.
Ningún sistema de votación o protexe todo.
Preferimos dicirllo con claridade. Unha garantía que non se cumpre é peor que non ofrecer ningunha.
| Risco | Cúbreo? | Como |
|---|---|---|
| Que alguén cambie un voto despois do peche | Si | A raíz da árbore queda selada cun selo de tempo: calquera pode recalculala e ver se coincide. |
| Que o seu voto non se conte | Si | Co seu código de verificación comproba que a súa papeleta está no escrutinio, tal e como a emitiu. |
| Que alguén vote dúas veces | Si | Cada persoa ten un acceso dun só uso que se consome ao votar. |
| Que se relacione a súa identidade co seu voto unha vez rexistrado | Si | Gárdanse por separado, sen ningunha chave que os una e sen a orde na que se votou. |
| O que ocorra no servidor no momento de votar | En parte | Quen controle o servidor mentres a votación está aberta podería asociar votante e papeleta antes de que se rexistre. Por iso o segredo fronte a quen opera a plataforma é un compromiso das nosas condicións; fronte á organización e fronte a terceiros, si é unha garantía técnica. |
| Que alguén use o seu acceso persoal | En parte | O acceso é dun só uso, pero se alguén entra no seu correo ou no seu móbil antes ca vostede, podería usalo. Protéxaos e avise á organización se recibe un acceso que non agardaba. |
| Quen tiña dereito a votar | Non | O Censo determínao a organización. Os interventores poden revisalo antes de abrir a votación. |
| Un voto que nunca chegou a entrar no sistema | Non | Cómpárase o rexistrado co selado: algo que non se gardou non deixa un oco visible. |
| Que alguén lle faga presión mentres vota desde a casa | Non | Ningún voto a distancia o evita. Se é un risco no seu proceso, combine o voto en liña coa urna presencial. |
| Que o seu dispositivo estea infectado | Non | Depende do seu equipo: vote desde un dispositivo actualizado. |
O seu proceso electoral, protexido desde o primeiro voto.
Escolla o seu seguinte paso.