Que doit garantir un vote électronique ?
Un vote électronique doit garantir deux choses qui semblent contradictoires : que personne ne puisse savoir ce qu’un participant au scrutin a voté, et que tout le monde puisse être certain que le résultat est fiable. Scrutalis s’appuie sur la technologie ElectionGuard, un protocole de chiffrement reconnu, ouvert et documenté publiquement, plutôt que sur une solution maison.
Le protocole, étape par étape
Dès que vous cliquez sur une réponse, votre navigateur la transforme en une suite de nombres illisible (un chiffrement mathématique) avant de l'envoyer à Scrutalis. Le serveur ne reçoit jamais votre choix en clair — seulement le résultat déjà chiffré.
La clé qui permettrait de déchiffrer les résultats n'existe nulle part en entier. Elle est fractionnée entre plusieurs personnes de confiance (les « garants ») désignées pour le scrutin :par exemple un membre des RH et un représentant du personnel. Un nombre minimum d'entre eux (le « quorum » des garants) doit se réunir pour déchiffrer le résultat final. Scrutalis lui-même ne peut jamais le faire seul.
Les votes chiffrés peuvent être additionnés entre eux tout en restant chiffrés ; comme si l'on pouvait connaître le contenu d'une urne sans ouvrir aucune enveloppe. Seul le total final des résultats est déchiffré par les garants ; aucun bulletin individuel n'est jamais ouvert, ni par Scrutalis, ni par personne d'autre.
Chaque bulletin chiffré est accompagné d'une preuve mathématique garantissant qu'il correspond bien à un seul choix valide — et non, par exemple, à une tentative de voter deux fois pour la même réponse — sans jamais révéler quel choix a été fait par le votant. Cette preuve peut être vérifiée par toute personne éligible, sans avoir besoin de connaître le choix spécifique du participant.
Chaque action importante (création du référendum, ouverture, clôture...) est enregistrée dans un journal où chaque entrée est liée mathématiquement à la précédente : modifier ou supprimer une entrée ancienne casserait la chaîne et serait immédiatement détectable. Ce journal ne contient jamais le contenu d'un vote, seulement le fait qu'un vote a eu lieu.
Que ce soit pour voter ou pour administrer un scrutin, personne ne se connecte avec un mot de passe. A la place, un lien à usage unique ou un code temporaire (envoyé par email ou SMS selon la méthode choisie) est nécessaire à chaque fois. Une tentative de deviner un code s'épuise vite : après 3 codes invalides, toute nouvelle tentative est bloquée pendant 15 minutes.
Après avoir voté, chaque salarié ou membre de votre organisation reçoit un récépissé (par email et en téléchargement) attestant qu'il a bien participé au scrutin, et sans jamais indiquer pour quoi il a voté. Il s’agit de la même logique que dans un bureau de vote physique : on peut prouver qu'on a voté, mais jamais le choix de vote qui a été fait par le votant.
Ce que Scrutalis apporte face aux exigences de la CNIL
La CNIL a publié une recommandation détaillant les garanties de sécurité attendues d'un système de vote électronique. Voici comment Scrutalis y répond concrètement :
Secret du scrutin. Le chiffrement démarre directement sur votre propre appareil : à aucun moment le contenu de votre vote ne circule ou n'est visible en clair, même brièvement, sur les serveurs de Scrutalis.
Intégrité des suffrages. Chaque bulletin est accompagné d'une preuve mathématique vérifiable, et le journal d'audit scellé rend toute altération détectable.
Répartition du secret de dépouillement. Aucune personne seule — même pas Scrutalis — ne détient la clé complète de déchiffrement : elle est répartie entre plusieurs garants, avec un seuil minimum requis pour l'utiliser.
Pas de dépouillement partiel. Les résultats ne peuvent être calculés qu'une fois le scrutin clôturé, sur l'ensemble des votes reçus — jamais bulletin par bulletin, ni pendant que le vote est encore ouvert.
Cette page décrit le fonctionnement du protocole cryptographique de Scrutalis. La recommandation de la CNIL couvre aussi des aspects organisationnels tels que l’information des votants, l’accessibilité, la durée de conservation des données, l’expertise indépendante. Ces aspects dépendent de la mise en œuvre propre à chaque référendum et ne sont pas couverts par cette page.
Questions de confiance
Non. Votre choix est chiffré dans votre navigateur avant même d'atteindre les serveurs de Scrutalis. Personne, pas même un administrateur avec un accès complet à la base de données, ne peut lire les votes en clair. Le déchiffrement du résultat final nécessite la coopération d'un quorum de garants, des personnes désignées spécifiquement pour le scrutin, jamais Scrutalis seul.
Rien de grave tant que le quorum minimum reste atteignable : par exemple, avec 3 garants et un quorum de 2, le résultat reste déchiffrable même si l'un des trois est indisponible. C'est justement le principe du chiffrement à seuil — répartir la confiance sans dépendre d'une seule personne, ni exiger que toutes soient présentes.
Non. Un attaquant qui accéderait entièrement aux serveurs de Scrutalis n'obtiendrait que des bulletins chiffrés. Sans la coopération d'un quorum de garants réels (des personnes, pas des serveurs), ces bulletins restent illisibles. C'est précisément ce que le chiffrement à seuil est conçu pour empêcher.
Aller plus loin techniquement
Cette page explique le protocole en langage courant. Pour le détail technique complet — équations, numéros de section de la spécification ElectionGuard, sources académiques — nous vous invitons à consulter la page dédiée.
Comment ça marche, techniquement →