Aller au contenu
Condorcet.vote Alpha
← Options avancées

Anonymat & transparence

Par défaut, votre vote en ligne est anonyme : le registre public ne permet à personne de relier un bulletin à un votant. Deux options, pour les votes qui doivent être attribuables, réduisent volontairement ce secret.

Sans rien régler : bulletin anonyme, aucun nom publié. Les deux options sont désactivées par défaut, figées au lancement, et si vous en activez une, chaque votant en est averti avant de voter.

01 · Par défaut

Anonyme par défaut : ce que personne ne peut relier.

Le registre public montre qui a pris part au vote, sous un identifiant aléatoire, et publie chaque bulletin signé. Entre les deux, aucun lien : ni le public, ni un lecteur ultérieur du registre ne peut dire qui a voté quoi. L'organisateur non plus, à une réserve près, détaillée plus bas.

Comment le secret du vote est protégé

L'émargement

  • Un identifiant aléatoire par électeur, aucun nom
  • S'il a voté et, si oui, dans quel groupe de signature
  • Publié en une seule fois, à la clôture
Aucun lien

Les bulletins

  • Chaque classement, signé au nom de son groupe
  • Ni heure, ni ordre d'arrivée
  • Publiés par lots d'au moins 600, ou à la clôture
Le registre public, par défaut : deux listes que rien ne relie entre elles.

Vote anonyme

À quoi ça sert
Chaque bulletin est signé dans le navigateur du votant au nom d'un groupe d'électeurs (une signature en anneau) : la signature prouve qu'il vient d'un électeur autorisé, sans dire lequel.
Quand la choisir
Toujours, sauf décision contraire : c'est le réglage de chaque élection, gratuite ou Officielle, sans rien à activer.
Ce que ça change
Le registre publie, pour chaque électeur, un identifiant aléatoire et s'il a voté. Les bulletins sont publiés sans rien qui désigne leur auteur.
En détail

Ni l'heure ni l'ordre d'arrivée des bulletins ne sont publiés : ils paraissent par lots d'au moins 600, dans un ordre sans rapport avec le moment du vote. Une élection de moins de 600 votants publie donc ses bulletins à la clôture.

La liste d'émargement n'est publiée qu'une fois, à la clôture : elle ne peut pas être rapprochée, dans le temps, des bulletins.

La plateforme n'enregistre aucune correspondance entre un votant et son bulletin.

La signature en anneau, pour les experts Quand les bulletins rejoignent le registre

Ce que voit l'organisateur

À quoi ça sert
Pendant le vote, vous suivez la participation dans votre liste électorale : combien d'électeurs ont voté, et lesquels.
Quand la choisir
Pour relancer d'un coup ceux qui n'ont pas encore voté, ou renvoyer un lien de vote égaré.
Ce que ça change
Vous savez qui a voté, pas ce qu'il a voté (une réserve pour les groupes presque vides, ci-dessous). Aucun résultat n'est visible, même pour vous, avant la clôture et le dépouillement.
En détail

Les liens de vote et les clés ne passent pas par vous : la plateforme les envoie directement à chaque électeur.

Une limite, quel que soit le mode de clés : vous voyez dans quel groupe de signature chaque électeur a voté. Le bulletin reste caché parmi ceux de ce groupe ; mais si presque personne d'autre n'y vote, vous pourriez deviner son choix. Le public, lui, ne peut jamais faire ce rapprochement.

Ce que change chaque mode de clé Relances et liste électorale
02 · Les deux options

Moins d'anonymat, seulement si vous le décidez.

Deux options réduisent volontairement le secret, pour les votes qui doivent être attribuables. Elles relèvent de l'offre Officielle, se règlent en brouillon et sont figées au lancement ; chaque votant en est averti avant de voter.

L'offre Officielle et ses tarifs

Ce que montre le registre public, option par option

Par défaut

Toutes les élections

Participation
Un identifiant aléatoire par électeur, et s'il a voté. Aucun nom.
Bulletin
Publié et signé, sans lien avec son auteur.

Émargement nominatif

Offre Officielle

Participation
En plus, pour chaque personne ayant voté : son nom et une empreinte de son e-mail. Les abstentionnistes restent anonymes.
Bulletin
Toujours secret.

Vote non anonyme

Offre Officielle

Participation
Comme avec l'émargement nominatif, activé d'office.
Bulletin
Relié à l'identifiant de son auteur, donc à son nom : chacun peut lire qui a voté quoi.

Pour les experts : le contenu exact du registre d'émargement, champ par champ. Le registre public en détail

Émargement nominatif

Offre Officielle
À quoi ça sert
Le registre public affiche le nom et une empreinte de l'adresse e-mail de chaque personne qui a voté. Le bulletin, lui, reste secret.
Quand la choisir
Quand vos statuts exigent une feuille d'émargement, ou pour que chacun puisse vérifier qui a pris part au vote.
Ce que ça change
Des données personnelles deviennent publiques : il vous faut une base légale (statuts, consentement…).
En détail

Seules les personnes qui ont voté sont nommées : l'option révèle qui a voté, jamais qui s'est abstenu.

L'empreinte de l'e-mail n'est pas une protection : quiconque connaît déjà une adresse peut vérifier si son titulaire a voté. C'est voulu : un vérificateur muni de la vraie liste électorale peut ainsi contrôler que les votants affichés sont bien les bons.

À éviter sur de très petits scrutins : si une seule personne vote dans un même groupe de signature, son bulletin se retrouve publiquement relié à son nom.

Données personnelles et conformité

Vote non anonyme

Offre Officielle
À quoi ça sert
Chaque bulletin publié porte l'identifiant de vote de son auteur. L'émargement nominatif étant activé d'office, chacun peut lire sur le registre qui a voté quoi.
Quand la choisir
Seulement pour les votes attribuables par nature : certaines décisions de copropriété ou d'assemblée, où le vote de chacun doit pouvoir être reconstitué.
Ce que ça change
Le secret du vote disparaît pour tous les votants. Le bulletin reste signé, publié et recomptable par tous.
En détail

Le lien entre un bulletin et son auteur est contrôlé par la plateforme à la réception : c'est son attestation, pas une preuve mathématique. La signature prouve toujours, elle, que le bulletin vient d'un électeur autorisé.

La dépendance ne joue que dans un sens : le vote non anonyme impose l'émargement nominatif, mais l'émargement nominatif s'utilise aussi seul, sans rien révéler des bulletins.

L'identité et les choix étant publiés en clair, il vous faut une base légale, comme pour l'émargement nominatif.

L'identifiant du votant dans le bulletin signé Données personnelles et conformité
03 · En toute transparence

Ce que l'anonymat ne protège pas.

L'anonymat cryptographique a des limites, que nous préférons dire clairement. Elles valent pour toutes les élections, gratuites ou Officielles, quel que soit le mode de clés.

Pour tout le monde, public compris

Ce que le résultat, le registre ou le votant lui-même peuvent révéler.

  • Les tout petits scrutins

    Le résultat lui-même peut révéler des choix : à deux votants, chacun devine le vote de l'autre, et un résultat unanime dit ce que tout le monde a voté. Aucune cryptographie n'y peut rien.

  • Un poids presque unique

    Dans un vote pondéré resté anonyme, le poids figure sur chaque bulletin et sur le registre : un électeur seul à détenir 87 tantièmes est reconnaissable par qui sait à qui ils appartiennent. Vous en êtes averti à l'activation.

    Le vote pondéré

  • Un votant peut prouver son vote

    Chaque votant garde un reçu et peut, s'il le veut, prouver à un tiers quel bulletin est le sien : le système ne résiste ni à la coercition, ni à l'achat de voix.

    La preuve de vote

Face à l'organisateur et à la plateforme

Ils en savent plus que le public. Voici exactement ce qu'ils peuvent apprendre.

  • Un groupe de signature presque vide

    Chaque bulletin se cache parmi ceux de son groupe de signature. L'organisateur, qui connaît chaque électeur, voit dans quel groupe il a voté, quel que soit le mode de clés : si presque personne d'autre n'y vote, il pourrait deviner son choix. Le public ne voit qu'un identifiant aléatoire, sauf avec l'émargement nominatif.

    Ce que le registre laisse voir

  • La plateforme, au moment du vote

    Pendant le scrutin, la plateforme est un tiers de confiance : elle voit passer la connexion de chaque votant quand son bulletin arrive. Ouverte et auditable, mais pas sans confiance. Des clés générées par les votants eux-mêmes réduisent ce qu'il faut lui confier.

    Les clés de vote
Toutes les garanties et leurs limites Toutes les questions fréquentes

Questions fréquentes

L'organisateur peut-il savoir pour qui j'ai voté ?
Non, dans un vote anonyme, le réglage par défaut. L'organisateur voit si vous avez voté, pour pouvoir vous relancer, et dans quel groupe de signature, jamais votre bulletin. Une réserve : si presque personne d'autre ne vote dans votre groupe, il pourrait deviner votre choix. Seul le vote non anonyme relie ouvertement les bulletins aux noms, et la page de vote vous en avertit avant que vous votiez.
Mon nom apparaît-il sur le registre public ?
Pas par défaut : vous n'y figurez que sous un identifiant aléatoire. Votre nom n'est publié que si l'organisateur a activé l'émargement nominatif ou le vote non anonyme, et seulement si vous avez voté ; vous en êtes prévenu avant de voter.
Un vote en ligne peut-il être vraiment anonyme ?
Oui, à condition de dire où s'arrête la promesse. Ici, une signature en anneau empêche le public de relier un bulletin à son auteur, aujourd'hui comme plus tard. L'organisateur et la plateforme en savent un peu plus : dans un groupe de signature presque vide, ils pourraient deviner un choix, et la plateforme reste un tiers de confiance au moment du vote. Enfin, un scrutin de trois personnes ne peut pas cacher ce que son résultat révèle.

Beaucoup d'options ? On vous guide.

Pas d'inquiétude : décrivez-nous votre vote, nous vous aidons à le configurer pas à pas, du mode de scrutin à la liste des votants.

Être accompagné

Les autres options

Sécurité, registre public et preuves Comment le secret du vote et la vérifiabilité tiennent ensemble : signatures, registre public, blockchain, vérification. Voir la sécurité Toutes les options avancées