L’urna che chiunque
può verificare.
Non ti chiediamo di fidarti della nostra parola: ti diamo gli strumenti per verificare tutto. Questo è il meccanismo al suo interno, con i suoi nomi tecnici e senza clausole nascoste.
Se cambi una scheda, tutto smette di tornare.
In sintesi: Se qualcuno cambia un voto, i conti non tornano più: durante la votazione lo possono verificare l’amministratore e gli scrutatori quando vogliono, e dopo la chiusura chiunque.
Ogni votazione costruisce un albero di Merkle: la struttura crittografica che rende qualsiasi modifica a un voto rilevabile da chiunque.
Se si cambia una scheda, la radice non torna più.
Ogni scheda è una foglia di un albero di Merkle la cui radice viene sigillata alla chiusura con un’autorità temporale indipendente. Chiunque può ricalcolare l’albero con le schede pubblicate: se non esce la stessa radice, il verbale non è quello che è stato sigillato.
Le foglie sono ordinate per identificatore casuale: l’ordine di emissione non è conservato da nessuna parte.
Guida: verificalo tu stesso, passo dopo passo →Ogni elettore può verificare la propria scheda.
Quando voti ricevi una ricevuta anonima. Con quella puoi verificare che la tua scheda sia inclusa nello scrutinio finale — senza rivelare a nessuno cosa hai votato.
Se la votazione lo ha attivato, puoi anche associare alla tua scheda una chiave personale: con quella la ritroverai in seguito, quando la votazione sarà sigillata.
Come funziona la ricevuta →Un verbale in PDF che rivela qualsiasi manipolazione.
Alla chiusura viene generato il verbale con la radice dell’albero, la marca temporale e un QR. Scansionalo — o inserisci il suo codice — e la piattaforma ricalcola tutto davanti a te.
Verifica un verbale ora →Le stesse garanzie, senza fumo negli occhi.
Un albero di Merkle sigillato offre la stessa immutabilità verificabile promessa da una blockchain, senza i suoi costi, la sua lentezza né i suoi intermediari. Ti spieghiamo perché non è magia — e perché non ne hai bisogno.
Il mito della blockchain nel voto →Dettaglio tecnico
- Impronta di ogni scheda
- Un hash SHA‑256 calcolato sul suo identificatore, sul contenuto della scheda e sul suo peso nello scrutinio.
- Albero di Merkle
- Le impronte vengono combinate a coppie fino a ottenere un’unica radice. Le foglie sono ordinate per identificatore casuale, mai per ordine di emissione.
- Durante la votazione
- Ogni scheda, al momento dell’emissione, lascia la propria impronta e viene copiata simultaneamente in un registro separato del database. Il controllo di integrità confronta scheda, impronta e copia: può essere avviato dall’amministratore e dagli scrutatori quando vogliono e si ripete automaticamente alla chiusura. Se qualcosa non torna, il verbale non viene sigillato.
- Radici intermedie
- Ogni 100 schede o ogni ora viene fissata una radice intermedia dell’albero, come testimone di quanto emesso fino a quel momento.
- Marca temporale
- Alla chiusura, la radice finale viene sigillata con una marca temporale RFC 3161 di un’autorità esterna: viaggia solo la sua impronta SHA‑256, mai le schede.
- Verifica
- Il verbale contiene la radice, la marca temporale e un QR. La verifica pubblica ricalcola l’albero con le schede pubblicate e confronta le radici.
Protetto in transito. Backup cifrati.
In sintesi: I tuoi dati viaggiano protetti e i backup vengono conservati cifrati. Qui ti spieghiamo esattamente come.
Cifratura a standard aperto dove protegge: nella connessione, nell’accesso e nei backup. Ecco i dettagli.
In transito
Le connessioni con la piattaforma vengono cifrate con TLS 1.3 (o TLS 1.2 se il tuo browser non lo supporta ancora). TLS è il protocollo che cifra la comunicazione tra il tuo browser e il server —il lucchetto nella barra degli indirizzi—, e la versione 1.3 è la più recente e la più robusta. Nulla viaggia in chiaro.
Backup
I backup giornalieri vengono cifrati con AES-256 prima di lasciare il server, e non si conserva mai una copia in chiaro.
All’accesso
Verifica in due passaggi (2FA) per gli amministratori, link di voto monouso e password che non vengono mai salvate in chiaro. Gli identificatori nelle URL sono sempre cifrati.
Dettaglio tecnico
- Protocollo
- HTTPS con TLS 1.3, oppure TLS 1.2 per i browser meno recenti; TLS 1.1 e precedenti vengono rifiutati. L’intestazione HSTS (un anno, con sottodomini) fa sì che il browser non provi più a effettuare una connessione non cifrata.
- Backup
- Dump giornaliero compresso e cifrato con AES-256-CBC prima di lasciare il server; la chiave è derivata con PBKDF2-SHA256 da 100.000 iterazioni. Se manca la chiave, il backup non viene eseguito: non viene mai salvata una copia in chiaro.
- Password
- Vengono memorizzate con bcrypt, un hash lento con salt proprio: nemmeno con accesso al database possono essere lette.
- Identificatori
- I numeri interni che compaiono negli indirizzi web sono cifrati con AES-256 e una chiave diversa per ogni area dell’applicazione, in modo che non possano essere indovinati né percorsi in sequenza.
- Sessione e moduli
- Cookie HttpOnly, SameSite e Secure; l’identificatore di sessione viene rinnovato all’accesso. Ogni modulo e richiesta include un token CSRF che ruota ogni ora.
- Tentativi
- Per impostazione predefinita, cinque accessi non riusciti in 15 minuti bloccano l’account. Anche i codici di verifica, i link di voto e la verifica pubblica dei verbali hanno un limite di tentativi.
Sappiamo che hai votato. Mai cosa hai votato.
In sintesi: Una volta registrato il tuo voto, nulla lo collega alla tua identità e nessuno può votare due volte, nemmeno passando da percorsi diversi.
La correlazione viene distrutta al momento dell’emissione del voto.
La correlazione identità ↔ contenuto viene distrutta al momento dell’emissione. Tabelle separate, senza chiave correlabile. Una volta registrato il voto, neppure un amministratore con accesso completo al database può ricostruire chi ha votato cosa.
Un voto per persona, da qualunque canale entri.
Si può votare accedendo con utente e password, con un link personale monouso o al seggio in presenza. I tre percorsi registrano la partecipazione nello stesso registro, che ammette una sola voce per persona e votazione: chi ha già votato con uno non può farlo con un altro. Quel registro dice che hai votato, mai che cosa.
L’anti doppio voto, spiegato in modo semplice →Dettaglio tecnico
- Archiviazione
- Chi ha votato e che cosa è stato votato vengono salvati in tabelle separate, senza alcuna chiave che le colleghi.
- Ordine di emissione
- Non viene salvato: le schede sono identificate da un valore casuale, quindi non si può incrociare l’ora del voto con l’ora di accesso.
- Doppio voto
- Un vincolo di unicità (persona + votazione) nel registro di partecipazione, all’interno della stessa transazione che salva la scheda: se due voti arrivano insieme, ne viene accettato solo uno. Nel voto tramite link, inoltre, il link viene marcato come usato in quella stessa transazione.
- Ricevuta
- Il codice di verifica è casuale e non ha alcun legame con il tuo account: solo chi lo possiede può trovare la propria scheda.
Scrutatori di ogni candidatura, con accesso in sola lettura.
In sintesi: Ogni candidatura può avere qualcuno che osserva il processo in diretta, senza poterlo modificare.
La trasparenza non è un PDF finale: è poter guardare il processo mentre avviene.
Un accesso in sola lettura per chi vigila.
Gli scrutatori monitorano l’elenco elettorale, la partecipazione e la chiusura in tempo reale, senza poter intervenire sull’amministrazione. Ogni candidatura può nominare i propri.
Urna in presenza, garanzie digitali.
Per il voto in presenza assistito, il seggio elettorale contrassegna chi ha votato e le schede vengono inserite in un secondo momento, senza collegarle a nessuno. Il segreto del voto è mantenuto anche fuori dallo schermo.
- Identificazione Il seggio cerca la persona nell’elenco elettorale e la contrassegna. Da quel momento non può più votare online.
- Scheda nell’urna Vota su carta e inserisci la scheda nell’urna fisica.
- Apertura Al termine, il seggio apre l’urna e conta le schede.
- Scrutinio Le schede vengono inserite una ad una, senza alcun dato su chi le ha emesse.
- Chiusura e verbale Il verbale confronta le persone segnate, le schede contate e le schede inserite. Se coincidono, indica «Quadra»; in caso contrario lo segnala insieme alle note del seggio.
I tuoi dati vivono in Europa. E qui rimangono.
In sintesi: I tuoi dati rimangono in Spagna, vengono usati solo per la tua votazione e non vengono mai venduti.
Tutti i nostri server sono ospitati in data center all’interno dell’Unione Europea (Spagna). Rispettiamo integralmente il GDPR fin dal primo minuto: i dati delle tue votazioni —voti, Elenco elettorale e partecipanti— sono trattati senza trasferimenti fuori dallo Spazio Economico Europeo e senza terzi. Niente clausole nascoste e niente sorprese.
Conforme al RGPD
Trattiamo solo i dati indispensabili per il processo elettorale, con una base giuridica chiara e tempi di conservazione definiti.
Zero trasferimenti fuori dal SEE
I dati di votazione non escono dallo Spazio economico europeo. (Se scegli di identificarti con il tuo account Google o Microsoft, quell’autenticazione passa da loro.)
Non vendiamo mai i tuoi dati
Niente pubblicità, niente profilazione e nessuna cessione a terzi. Il tuo Elenco elettorale e i tuoi risultati sono tuoi — e solo tuoi. Punto.
Nessun sistema di votazione protegge tutto.
Preferiamo dirtelo chiaramente. Una garanzia che non si rispetta è peggiore che non offrirne nessuna.
| Rischio | Lo copre? | Come |
|---|---|---|
| Che qualcuno cambi un voto dopo la chiusura | Sì | La radice dell’albero viene sigillata con un timbro temporale: chiunque può ricalcolarla e verificare se coincide. |
| Che il tuo voto non venga conteggiato | Sì | Con il tuo codice di verifica controlli che la tua scheda sia nello scrutinio, esattamente come l’hai espressa. |
| Che qualcuno voti due volte | Sì | Ogni persona ha un accesso monouso che si consuma al momento del voto. |
| Che la tua identità venga collegata al tuo voto una volta registrato | Sì | Vengono conservati separatamente, senza alcuna chiave che li colleghi e senza l’ordine in cui si è votato. |
| Ciò che accade sul server nell’istante in cui voti | In parte | Chi controlla il server mentre la votazione è aperta potrebbe associare elettore e scheda prima che venga registrata. Per questo il segreto nei confronti di chi gestisce la piattaforma è un impegno previsto dalle nostre condizioni; nei confronti dell’organizzazione e di terzi, invece, è una garanzia tecnica. |
| Che qualcuno usi il tuo accesso personale | In parte | L’accesso è monouso, ma se qualcuno entra nella tua email o nel tuo cellulare prima di te potrebbe utilizzarlo. Proteggili e avvisa l’organizzazione se ricevi un accesso che non ti aspettavi. |
| Chi aveva diritto di voto | No | L’elenco elettorale è deciso dall’organizzazione. Gli scrutatori possono esaminarlo prima di aprire la votazione. |
| Un voto che non è mai entrato nel sistema | No | Si confronta ciò che è stato registrato con ciò che è stato sigillato: qualcosa che non è stato salvato non lascia un vuoto visibile. |
| Che qualcuno ti faccia pressione mentre voti da casa | No | Nessun voto a distanza lo evita. Se è un rischio nel tuo processo, combina il voto online con l’urna in presenza. |
| Che il tuo dispositivo sia infetto | No | Dipende dal tuo dispositivo: vota da un dispositivo aggiornato. |
Il tuo processo elettorale, protetto dal primo voto.
Scegli il tuo prossimo passo.