A urna que qualquer pessoa
pode auditar.
Não lhe pedimos que confie na nossa palavra: damos-lhe as ferramentas para verificar tudo. Esta é a maquinaria por dentro, com os seus nomes técnicos e sem letra pequena.
Altere um boletim de voto e tudo deixa de bater certo.
Em resumo: Se alguém alterar um voto, deixa de bater certo: durante a votação, o administrador e os delegados verificam-no quando quiserem e, após o fecho, qualquer pessoa o pode fazer.
Cada votação constrói uma árvore de Merkle: a estrutura criptográfica que torna qualquer alteração num voto detetável por qualquer pessoa.
Muda um boletim de voto e a raiz deixa de coincidir.
Cada boletim de voto é uma folha de uma árvore de Merkle cuja raiz é selada no fecho com uma autoridade de tempo independente. Qualquer pessoa pode recalcular a árvore com os boletins de voto publicados: se não obtiver a mesma raiz, a ata não é a que foi selada.
As folhas são ordenadas por identificador aleatório: a ordem de emissão não é guardada em lado nenhum.
Guia: verifique-o por si mesmo, passo a passo →Cada eleitor pode verificar o seu próprio boletim de voto.
Ao votar recebe um comprovativo anónimo. Com ele verifica que o seu boletim de voto está no apuramento final — sem revelar a ninguém o que votou.
Se a votação tiver essa opção ativada, também pode atribuir ao seu boletim de voto uma chave pessoal: com ela encontra-o mais tarde, quando a votação estiver selada.
Como funciona o comprovativo →Uma ata em PDF que denuncia qualquer manipulação.
No fecho é gerada a ata com a raiz da árvore, o selo temporal e um QR. Leia-o — ou introduza o respetivo código — e a plataforma recalcula tudo à sua frente.
Verifique uma ata agora →As mesmas garantias, sem fumo.
Uma árvore de Merkle selada oferece a mesma imutabilidade verificável que uma blockchain promete, sem o seu custo, a sua lentidão nem os seus intermediários. Explicamos-lhe porque não é magia — e porque não precisa dela.
O mito da blockchain no voto →Detalhe técnico
- Impressão digital de cada boletim de voto
- Um hash SHA-256 calculado sobre o seu identificador, o conteúdo do boletim de voto e o respetivo peso no apuramento.
- Árvore de Merkle
- As impressões digitais combinam-se aos pares até ficar apenas uma raiz. As folhas são ordenadas por identificador aleatório, nunca pela ordem de emissão.
- Enquanto se vota
- Cada boletim de voto deixa a sua impressão digital ao ser emitido e é copiado, nesse mesmo momento, para um registo separado da base de dados. A verificação de integridade compara boletim, impressão digital e cópia: é iniciada pelo administrador e pelos delegados quando quiserem e repete-se automaticamente no fecho. Se algo não bater certo, a ata não é selada.
- Raízes intermédias
- A cada 100 boletins de voto, ou a cada hora, é fixada uma raiz intermédia da árvore, como testemunha do que foi emitido até esse momento.
- Selo temporal
- No fecho, a raiz final é selada com um selo temporal RFC 3161 de uma autoridade externa: apenas segue a sua impressão SHA-256, nunca os boletins de voto.
- Verificação
- A ata inclui a raiz, o selo e um QR. A verificação pública recalcula a árvore com os boletins de voto publicados e compara as raízes.
Protegido em trânsito. Cópias cifradas.
Em resumo: Os seus dados viajam protegidos e as cópias de segurança são guardadas cifradas. Aqui explicamos exatamente como.
Cifragem de padrão aberto onde protege: na ligação, no acesso e nas cópias. Estes são os pormenores.
Em trânsito
As ligações à plataforma são cifradas com TLS 1.3 (ou TLS 1.2 se o seu navegador ainda não o suportar). TLS é o protocolo que cifra a comunicação entre o seu navegador e o servidor — o cadeado da barra de endereços —, e a versão 1.3 é a mais recente e a mais robusta. Nada viaja em claro.
Cópias de segurança
As cópias de segurança diárias são cifradas com AES-256 antes de saírem do servidor, e nunca se guarda uma cópia por cifrar.
No acesso
Verificação em dois passos (2FA) para administradores, links de voto de utilização única e palavras-passe que nunca são guardadas em claro. Os identificadores nas URLs vão sempre cifrados.
Detalhe técnico
- Protocolo
- HTTPS com TLS 1.3, ou TLS 1.2 para navegadores antigos; TLS 1.1 e anteriores são rejeitados. O cabeçalho HSTS (um ano, com subdomínios) faz com que o navegador não volte a tentar uma ligação sem cifragem.
- Cópias de segurança
- Dump diário comprimido e cifrado com AES-256-CBC antes de sair do servidor; a chave é derivada com PBKDF2-SHA256 de 100 000 iterações. Se a chave faltar, a cópia não é feita: nunca é guardada uma cópia em claro.
- Palavras-passe
- São guardadas com bcrypt, um hash lento com salt próprio: nem sequer com acesso à base de dados podem ser lidas.
- Identificadores
- Os números internos que aparecem nos endereços web vão cifrados com AES-256 e uma chave distinta para cada zona da aplicação, para que não possam ser adivinhados nem percorridos.
- Sessão e formulários
- Cookies HttpOnly, SameSite e Secure; o identificador de sessão é renovado ao entrar. Cada formulário e pedido leva um token CSRF que é renovado a cada hora.
- Tentativas
- Por defeito, cinco acessos falhados em 15 minutos bloqueiam a conta. Os códigos de verificação, os links de voto e a verificação pública de atas também têm limite de tentativas.
Sabemos que votaste. Nunca em quê votaste.
Em resumo: Depois de o seu voto ficar registado, nada o liga à sua identidade, e ninguém pode votar duas vezes, nem sequer por caminhos diferentes.
A correlação é destruída ao emitir o voto.
A correlação identidade ↔ conteúdo é destruída no momento da emissão. Tabelas separadas, sem chave correlacionável. Depois de o voto ficar registado, nem um administrador com acesso total à base de dados consegue reconstruir quem votou em quê.
Um voto por pessoa, venha por onde vier.
Pode votar entrando com utilizador e palavra-passe, com um link pessoal de utilização única ou na mesa presencial. Os três caminhos registam a participação no mesmo registo, que só admite uma entrada por pessoa e votação: quem já votou por um não o pode fazer por outro. Esse registo diz que votou, nunca em quê.
O anti voto duplo, explicado de forma simples →Detalhe técnico
- Armazenamento
- Quem votou e o que foi votado são guardados em tabelas separadas, sem qualquer chave que as relacione.
- Ordem de emissão
- Não é guardada: os boletins de voto são identificados com um valor aleatório, pelo que não é possível cruzar a hora de voto com a hora de acesso.
- Voto duplo
- Uma restrição única (pessoa + votação) no registo de participação, dentro da mesma transação que guarda o boletim de voto: se dois votos chegarem ao mesmo tempo, só entra um. No voto por link, além disso, o link é marcado como usado nessa mesma transação.
- Comprovativo
- O código de verificação é aleatório e não tem relação com a sua conta: só quem o tem pode encontrar o seu boletim de voto.
Delegados de cada candidatura, com acesso apenas de leitura.
Em resumo: Cada candidatura pode ter alguém a acompanhar o processo em direto, sem o poder alterar.
A transparência não é um PDF no fim: é poder acompanhar o processo enquanto decorre.
Um acesso apenas de leitura para quem vigia.
Os delegados monitorizam o caderno eleitoral, a participação e o fecho em tempo real, sem poderem tocar na administração. Cada candidatura pode nomear os seus.
Urna presencial, garantias digitais.
Para o voto presencial assistido, a mesa eleitoral marca quem votou e os boletins de voto são introduzidos depois, sem os ligar a ninguém. O segredo de voto mantém-se também fora do ecrã.
- Identificação A mesa procura a pessoa no caderno eleitoral e marca-a. A partir desse momento já não pode votar online.
- Boletim de voto na urna Vote em papel e deposite o boletim de voto na urna física.
- Abertura No fim, a mesa abre a urna e conta os boletins de voto.
- Apuramento Os boletins de voto são introduzidos um a um, sem qualquer dado sobre quem os emitiu.
- Encerramento e ata A ata compara pessoas marcadas, boletins de voto contados e boletins de voto introduzidos. Se coincidirem, indica «Confere»; caso contrário, assinala-o junto às notas da mesa.
Os teus dados vivem na Europa. E ficam aqui.
Em resumo: Os seus dados permanecem em Espanha, são usados apenas para a sua votação e nunca são vendidos.
Todos os nossos servidores estão alojados em centros de dados dentro da União Europeia (Espanha). Cumprimos integralmente o RGPD desde o primeiro minuto: os dados das suas votações —votos, caderno eleitoral e participantes— são processados sem transferências para fora do Espaço Económico Europeu e sem terceiros. Sem letra pequena e sem surpresas.
Em conformidade com o RGPD
Tratamos apenas os dados indispensáveis para o processo eleitoral, com base jurídica clara e prazos de conservação definidos.
Zero transferências para fora do EEE
Os dados de votação não saem do Espaço Económico Europeu. (Se optar por se identificar com a sua conta Google ou Microsoft, essa autenticação passa por eles.)
Nunca vendemos os seus dados
Sem publicidade, sem criação de perfis e sem cedência a terceiros. O seu caderno eleitoral e os seus resultados são seus — e só seus. Ponto.
Nenhum sistema de votação protege tudo.
Preferimos dizê-lo de forma clara. Uma garantia que não se cumpre é pior do que não oferecer nenhuma.
| Risco | Está coberto? | Como |
|---|---|---|
| Que alguém altere um voto depois do encerramento | Sim | A raiz da árvore fica selada com um carimbo de tempo: qualquer pessoa a pode recalcular e verificar se coincide. |
| Que o seu voto não seja contado | Sim | Com o seu código de verificação verifica que o seu boletim de voto está no apuramento, tal como o emitiu. |
| Que alguém vote duas vezes | Sim | Cada pessoa tem um acesso de utilização única que é consumido ao votar. |
| Que a sua identidade seja associada ao seu voto depois de este estar registado | Sim | São guardados em separado, sem qualquer chave que os una e sem a ordem em que se votou. |
| O que acontecer no servidor no instante de votar | Em parte | Quem controlar o servidor enquanto a votação estiver aberta pode associar eleitor e boletim de voto antes de este ser registado. Por isso, o segredo perante quem opera a plataforma é um compromisso das nossas condições; perante a organização e perante terceiros, é sim uma garantia técnica. |
| Que alguém utilize o seu acesso pessoal | Em parte | O acesso é de utilização única, mas se alguém entrar no seu email ou no seu telemóvel antes de si, poderá utilizá-lo. Proteja-os e avise a organização se receber um acesso que não estava à espera. |
| Quem tinha direito a votar | Não | O caderno eleitoral é definido pela organização. Os delegados podem revê-lo antes de abrir a votação. |
| Um voto que nunca chegou a entrar no sistema | Não | Compara-se o que foi registado com o que foi selado: algo que não foi guardado não deixa uma lacuna visível. |
| Que alguém o pressione enquanto vota em casa | Não | Nenhum voto à distância o evita. Se for um risco no seu processo, combine o voto online com a urna presencial. |
| Que o seu dispositivo esteja infetado | Não | Depende do seu equipamento: vote a partir de um dispositivo atualizado. |
O seu processo eleitoral, protegido desde o primeiro voto.
Escolha o seu passo seguinte.