Sécurité du vote électronique :
comment ça marche vraiment
Chiffrement, secret du vote, traçabilité, exigences de la CNIL : nous expliquons sans jargon comment un vote en ligne est protégé et comment vérifier qu'un prestataire est à la hauteur des enjeux.
La sécurité du vote électronique repose sur un équilibre exigeant : garantir le secret du vote tout en prouvant l'intégrité du scrutin, sans jamais pouvoir relier un bulletin à un électeur. Pour un décideur d'association, un syndic, un responsable RH ou un organisateur d'élection professionnelle, comprendre ces mécanismes est la condition pour choisir une solution conforme et défendable en cas de contestation.
Ce guide sur la sécurité du vote en ligne passe en revue les principes fondateurs (secret, sincérité, intégrité, contrôlabilité), l'approche par analyse de risque recommandée par la CNIL, le cadre légal (RGPD, RGS, recommandations de l'ANSSI), les briques techniques comme le chiffrement de bout en bout et les preuves à divulgation nulle de connaissance (ZKP), mais aussi — honnêtement — les risques et limites réels du dispositif. Nous terminons par une checklist concrète pour auditer un prestataire.
Le bulletin est chiffré sur l'appareil du votant (chiffrement homomorphe ElGamal sur courbe Ristretto255) et n'est déchiffré qu'au dépouillement, par des clés réparties entre plusieurs assesseurs.
Le fichier d'émargement et le fichier des suffrages sont séparés : l'identité est séparée du contenu du vote et les bulletins individuels ne sont jamais déchiffrés. Une fois chiffré et déposé dans l'urne, aucun bulletin ne peut être rattaché à un électeur.
Identité vérifiée par double facteur (mot de passe + OTP envoyé par e-mail ou SMS), pour s'assurer qu'un électeur est bien celui qu'il prétend être.
Chaque électeur ne peut voter qu'une seule fois par scrutin. L'émargement bloque tout second dépôt, garantissant le principe « un votant = une voix ».
Un journal d'événements horodaté et scellé enregistre chaque opération. Les empreintes numériques (SHA-256) prouvent que l'urne n'a pas été altérée.
Analyse de risque, hébergement en France, durée de conservation maîtrisée, dans le respect du RGPD et des recommandations de la CNIL : un scrutin auditable et défendable juridiquement en cas de contentieux électoral.
Qu'est-ce que la sécurité du vote électronique ?
La sécurité du vote électronique ne se résume pas au chiffrement. Elle vise à garantir simultanément quatre principes, hérités du vote papier mais traduits dans le monde numérique : le secret (personne ne doit savoir pour qui vous avez voté), la sincérité (le résultat reflète fidèlement l'expression des votants), l'intégrité (aucun bulletin n'est ajouté, modifié ou supprimé) et la contrôlabilité (le bon déroulement peut être vérifié et audité).
La difficulté tient à ce que ces principes sont partiellement contradictoires : prouver qu'un scrutin est intègre suppose de la traçabilité, mais cette traçabilité ne doit jamais permettre de lever le secret du vote. Toute l'architecture d'une solution sérieuse consiste à résoudre cette tension par la cryptographie et par une séparation stricte des rôles et des fichiers : l'identité est séparée du contenu du vote, et les bulletins individuels ne sont jamais déchiffrés.
- Secret : impossibilité de relier un bulletin à l'identité d'un électeur
- Sincérité : le décompte correspond exactement aux votes exprimés
- Intégrité : l'urne ne peut être ni vidée, ni bourrée, ni modifiée
- Contrôlabilité : chaque étape est journalisée, vérifiable et auditable
Calibrer la sécurité par l'analyse de risque
La CNIL recommande de calibrer la sécurité d'un vote en ligne selon une analyse de risque. Le principe : plus l'enjeu et les menaces sont élevés, plus les exigences techniques et organisationnelles sont hautes. C'est la grille de lecture la plus utile pour savoir comment sécuriser un vote en ligne à la hauteur réelle des risques, sans surdimensionner ni sous-protéger.
Pour les scrutins à enjeu faible (certaines votations associatives internes), des exigences de base suffisent. Pour des enjeux ou menaces plus importants, l'authentification et le chiffrement sont renforcés. Pour les conséquences les plus lourdes en cas de fraude — élections professionnelles, scrutins très médiatisés — les exigences montent encore : chiffrement de bout en bout, clés de déchiffrement réparties et expertise indépendante deviennent indispensables. Le bon dimensionnement découle toujours d'une analyse de risque documentée, à conserver comme preuve.
- Enjeu/risque faibles : exigences de sécurité de base
- Enjeux ou menaces plus importants : authentification et confidentialité renforcées
- Enjeux forts : chiffrement de bout en bout, clés réparties, audit indépendant
- Le bon niveau découle d'une analyse de risque documentée, à conserver comme preuve
Cadre légal et conformité : CNIL, ANSSI, RGPD
Le vote électronique est licite en France pour de nombreux scrutins, sous réserve de vos statuts ou textes applicables et du respect des principes de sécurité. Plusieurs cadres se combinent : la CNIL publie des recommandations dédiées au vote par correspondance électronique, régulièrement mises à jour (mise à jour applicable en 2025) ; l'ANSSI, via le Référentiel Général de Sécurité (RGS v.2), encadre l'authentification et la protection des échanges ; et le RGPD s'applique au traitement des données des électeurs.
Concrètement, la conformité suppose une base légale claire, une information des électeurs, une durée de conservation limitée des données et un hébergement maîtrisé — en France pour Sephos. Ces exigences doivent s'apprécier au regard de votre forme juridique et du type de scrutin organisé, dans le respect du RGPD et des recommandations de la CNIL.
- CNIL : recommandation sur le vote par correspondance électronique (SVE), version applicable 2025
- ANSSI / RGS v.2 : authentification et sécurisation des échanges
- RGPD : minimisation, information des électeurs, conservation limitée
- Hébergement en France et souveraineté des données
Chiffrement, preuves cryptographiques et traçabilité : les briques techniques
Le chiffrement du vote en ligne commence sur l'appareil du votant : le bulletin est transformé en bulletin numérique chiffré avant même de quitter le navigateur. Sephos s'appuie sur un chiffrement homomorphe ElGamal sur courbe Ristretto255 pour le vote, et XChaCha20-Poly1305 pour les pièces non agrégeables. Ce chiffrement de bout en bout fait qu'aucun intermédiaire — pas même le prestataire ou l'administrateur du scrutin — ne peut lire un bulletin entre le dépôt et le dépouillement.
Le déchiffrement n'est possible qu'à la clôture, grâce à des clés de dépouillement réparties entre plusieurs assesseurs : aucune personne seule ne détient la clé complète. Le chiffrement homomorphe permet en outre de compter les voix sans jamais déchiffrer les bulletins individuels. Une couche supplémentaire vient compléter ce dispositif : les preuves à divulgation nulle de connaissance (ZKP, Zero-Knowledge Proofs). Concrètement, une ZKP permet à un système de prouver mathématiquement qu'une opération a été effectuée correctement — par exemple, qu'un bulletin est bien formé et ne contient qu'un seul choix valide — sans révéler le contenu du bulletin. C'est ce mécanisme qui rend la vérifiabilité possible sans compromettre le secret.
En parallèle, le secret du vote est assuré par la séparation entre le fichier d'émargement (qui a voté) et le fichier des suffrages (ce qui a été voté), l'identité étant séparée du contenu du vote. Enfin, la traçabilité du vote électronique s'appuie sur un journal d'événements scellé et des empreintes (SHA-256), avec des signatures Ed25519, qui prouvent l'intégrité de l'urne sans révéler son contenu.
- Chiffrement du bulletin côté votant (ElGamal / Ristretto255) avant tout envoi
- Clés de dépouillement réparties : aucun acteur seul ne peut ouvrir l'urne
- Chiffrement homomorphe : compter sans déchiffrer les bulletins individuels
- ZKP (preuves à divulgation nulle de connaissance) : prouver la validité d'un bulletin sans en révéler le contenu
- Séparation émargement / urne pour garantir le secret du vote
- Journal d'événements scellé + empreintes (SHA-256) et signatures Ed25519 pour prouver l'intégrité
Risques, failles et limites du vote électronique
Aucune solution n'est magiquement infaillible, et l'honnêteté impose de nommer les risques du vote électronique. Des travaux de chercheurs (notamment de l'Inria autour de scrutins de 2022) ont montré que des failles peuvent exister : sécurité de l'appareil du votant compromise par un logiciel malveillant, hameçonnage des identifiants, ou défaillances dans la mise en œuvre d'un prestataire. Une panne technique en cours de scrutin est également un risque opérationnel à anticiper.
La meilleure réponse n'est pas de minimiser ces risques mais de les contrer par des contre-mesures vérifiables : la vérifiabilité de bout en bout (end-to-end verifiability) permet à chaque électeur de vérifier que son vote a bien été enregistré et compté, sans révéler son contenu. Des systèmes open-source comme Belenios (issu de l'Inria et du CNRS) illustrent cette approche en rendant le code et les preuves cryptographiques publiquement auditables. Pour les enjeux forts, une expertise indépendante et un plan de continuité (procédure de secours en cas de panne) sont indispensables.
- Appareil du votant : risque de logiciel malveillant ou d'hameçonnage des identifiants
- Mise en œuvre : une faille vient plus souvent du déploiement que de la théorie
- Vérifiabilité de bout en bout : l'électeur peut vérifier la prise en compte de son vote
- Belenios (Inria/CNRS) : approche open-source et auditable, transparence des preuves
- Plan de continuité et procédure de secours en cas de panne pendant le scrutin
Vote électronique vs vote papier : comparaison objective
Opposer vote papier et vote électronique comme si l'un était intrinsèquement supérieur à l'autre est trompeur : les deux ont leurs vulnérabilités propres. Le vote papier est exposé aux bourrage d'urne physique, aux erreurs de dépouillement humain, aux bulletins contestés et à l'impossibilité de voter à distance. Le vote électronique sécurisé élimine ces risques-là, mais introduit une surface d'attaque numérique qui n'existait pas sur papier.
L'enjeu n'est donc pas de choisir le mode « le plus sûr » en absolu, mais d'évaluer les risques réels de chaque contexte. Pour une AG d'association avec des membres dispersés géographiquement, le vote en ligne augmente la participation et réduit les risques organisationnels liés à la logistique papier. Pour un CSE ou une AG de société cotée, la réglementation impose un niveau de sécurité cryptographique que le papier ne peut pas atteindre à distance. La comparaison doit aussi inclure la traçabilité : un journal d'événements numérique est plus difficile à falsifier qu'un procès-verbal manuscrit, à condition que le scellement soit réalisé correctement. Dans tous les cas, la sécurité effective dépend autant de l'organisation (désignation des assesseurs, scellement, conservation des clés) que du support technique choisi.
- Vote papier : risques de bourrage d'urne, erreurs humaines, impossibilité de vote à distance
- Vote électronique : surface d'attaque numérique, mais traçabilité renforcée et participation accrue
- Pour les CSE et AG cotées : la réglementation impose un niveau cryptographique inaccessible au papier à distance
- Journal numérique scellé > procès-verbal manuscrit, à condition d'une organisation rigoureuse
- La sécurité tient autant à l'organisation (assesseurs, scellement) qu'au support
Comment choisir un prestataire de vote électronique sécurisé
Choisir une solution conforme suppose de poser les bonnes questions et d'exiger des preuves, pas des slogans. La checklist ci-dessous reprend les critères qui distinguent un prestataire sérieux, et qui pèseront aussi en cas de contentieux électoral : un journal d'événements auditable et la qualité de l'audit peuvent rendre un scrutin opposable par la preuve, ou au contraire fragile, devant un juge.
Au-delà de la technique, vérifiez l'accessibilité aux personnes en situation de handicap et l'accompagnement humain le jour du vote. La sécurité d'un scrutin tient autant à l'organisation (assesseurs, bureau de vote, scellement) qu'à la cryptographie.
- Analyse de risque fournie et exigences de sécurité calibrées selon l'enjeu
- Chiffrement de bout en bout et clés de dépouillement réparties entre assesseurs
- Séparation stricte émargement / urne, scellement et empreintes de l'urne
- Hébergement en France et conformité RGPD
- Expertise / audit indépendants et code ou preuves auditables
- Journal d'événements horodaté, vérifiable et opposable par la preuve en cas de contestation
- Accessibilité et accompagnement humain pendant tout le scrutin
Comment est sécurisé un vote, de bout en bout ?
L'électeur prouve son identité par double facteur (mot de passe + code OTP à usage unique reçu par e-mail ou SMS) avant d'accéder au scrutin.
Le vote est chiffré sur l'appareil du votant (chiffrement homomorphe ElGamal / Ristretto255) et devient un bulletin numérique illisible avant d'être déposé dans l'urne.
L'émargement enregistre que la personne a voté, dans un fichier distinct de l'urne. Le bulletin chiffré ne porte aucune trace de l'identité : l'identité est séparée du contenu du vote.
Chaque opération est horodatée et journalisée. L'urne est scellée et une empreinte (SHA-256) garantit qu'elle n'a pas été modifiée.
À la clôture, plusieurs assesseurs réunissent leurs clés pour déchiffrer le résultat agrégé. Le décompte est vérifiable, sans déchiffrer les bulletins individuels.
Un vote électronique est sécurisé lorsqu'il garantit simultanément le secret, la sincérité, l'intégrité et la contrôlabilité du scrutin. Cela passe par des exigences calibrées sur une analyse de risque, un chiffrement de bout en bout, des preuves à divulgation nulle de connaissance (ZKP), la séparation émargement/urne (l'identité séparée du contenu du vote), un journal scellé, vérifiable et opposable par la preuve et, pour les enjeux forts, une expertise indépendante — l'ensemble s'appréciant selon votre forme juridique et vos textes applicables, dans le respect du RGPD et des recommandations de la CNIL.
Questions fréquentes
Le vote électronique est-il vraiment sécurisé ?
Oui, à condition que la sécurité du vote électronique soit calibrée selon le niveau de risque et reposant sur des briques éprouvées : authentification forte, chiffrement de bout en bout, séparation émargement/urne, clés de dépouillement réparties et journal scellé. Aucun système n'est infaillible, mais ces contre-mesures, complétées par une expertise indépendante pour les enjeux forts, rendent un scrutin fiable et défendable.
Comment est garanti le secret du vote en ligne ?
Par une séparation technique stricte entre le fichier d'émargement (qui a voté, nécessaire au quorum) et le fichier des suffrages (ce qui a été voté) : l'identité est séparée du contenu du vote et les bulletins individuels ne sont jamais déchiffrés. Une fois chiffré et déposé dans l'urne, un bulletin ne peut plus être relié à un électeur. Le chiffrement de bout en bout fait que personne, pas même le prestataire ou l'administrateur, ne peut lire un vote individuel.
Comment calibrer la sécurité d'un vote en ligne selon la CNIL ?
La CNIL recommande une analyse de risque : plus l'enjeu et les menaces sont élevés, plus les exigences techniques et organisationnelles sont hautes. Les scrutins à faible enjeu se contentent d'exigences de base ; les enjeux plus importants imposent une authentification et une confidentialité renforcées ; les enjeux forts comme les élections professionnelles exigent chiffrement de bout en bout, clés réparties et expertise indépendante. Le bon dimensionnement découle d'une analyse de risque documentée que vous conservez comme preuve.
Comment vérifier que mon vote a bien été pris en compte ?
Grâce à la vérifiabilité de bout en bout (end-to-end verifiability) : certaines solutions remettent à l'électeur une preuve cryptographique lui permettant de vérifier que son bulletin a bien été enregistré et pris en compte dans le décompte, sans jamais révéler son contenu. Aucun reçu du contenu du vote n'est délivré et les bulletins individuels ne sont jamais déchiffrés, ce qui réduit fortement la coercition par conception. Les systèmes open-source comme Belenios (Inria/CNRS) ont popularisé cette approche transparente et auditable.
Comment fonctionne le chiffrement d'un bulletin de vote en ligne ?
Le chiffrement du vote en ligne s'opère dès l'appareil du votant : le bulletin est chiffré (chiffrement homomorphe ElGamal sur courbe Ristretto255) avant tout envoi, ce qui le rend illisible pendant tout son transit et son stockage. Il n'est déchiffré qu'au dépouillement, par des clés réparties entre plusieurs assesseurs. Le chiffrement homomorphe permet même de compter les voix sans déchiffrer les bulletins individuels, qui ne sont jamais déchiffrés. L'intégrité est scellée par des empreintes SHA-256 et des signatures Ed25519.
Comment choisir une solution de vote en ligne conforme RGPD/CNIL ?
Exigez des preuves : analyse de risque documentée, chiffrement de bout en bout, clés de dépouillement réparties, séparation émargement/urne, scellement et empreintes de l'urne, hébergement en France, audit ou expertise indépendante et journal d'événements opposable par la preuve. Vérifiez aussi l'accessibilité et l'accompagnement le jour du scrutin. Ces critères s'apprécient selon votre forme juridique et votre type de vote, dans le respect du RGPD et des recommandations de la CNIL.
Est-ce qu'un vote électronique peut être piraté ?
Théoriquement oui, comme tout système numérique. En pratique, les vecteurs d'attaque les plus réalistes ne portent pas sur le protocole cryptographique lui-même — qui est mathématiquement solide — mais sur l'environnement : appareil du votant compromis par un logiciel malveillant, hameçonnage des identifiants, ou faille dans le déploiement par un prestataire insuffisamment rigoureux. Des chercheurs de l'Inria ont documenté ce type de vulnérabilités lors de scrutins en 2022. La réponse est une combinaison d'authentification forte (2FA), de vérifiabilité de bout en bout (ZKP) et d'audit indépendant — pas d'une promesse d'infaillibilité absolue.
Quelle est la différence entre vote électronique sécurisé et vote papier ?
Les deux modes ont des risques distincts, non comparables directement. Le vote papier est exposé au bourrage d'urne physique, aux erreurs de dépouillement humain et à l'impossibilité de voter à distance. Le vote électronique sécurisé introduit une surface d'attaque numérique, mais offre en contrepartie une traçabilité supérieure (journal scellé, empreintes SHA-256), une vérifiabilité cryptographique et la possibilité de participation à distance. Pour les élections professionnelles (CSE) ou les AG de sociétés cotées, la réglementation impose un niveau cryptographique que le vote papier à distance ne peut pas atteindre. Le bon choix dépend du contexte, de l'enjeu et des obligations légales applicables à votre structure.
Comment vérifier l'intégrité d'un scrutin électronique après la clôture ?
Après la clôture, l'intégrité d'un scrutin électronique se vérifie à plusieurs niveaux. D'abord, le journal d'événements horodaté et scellé doit être consultable : chaque opération y est enregistrée avec une empreinte numérique (SHA-256) qui permet de détecter toute modification a posteriori. Ensuite, les empreintes de l'urne au moment du scellement et à la clôture doivent correspondre. Pour les systèmes avec vérifiabilité de bout en bout (comme Belenios/Inria), chaque électeur peut vérifier individuellement que son bulletin figure bien dans l'urne publiée. Un audit indépendant post-scrutin peut aussi comparer les journaux aux résultats annoncés. Ces éléments constituent les preuves opposables en cas de contentieux électoral.
Sécurisez votre prochain scrutin en ligne
Nos experts évaluent les exigences de sécurité adaptées à votre scrutin (analyse de risque, chiffrement, audit) et vous présentent la plateforme en 20 minutes.