Vote électronique sécurisé :
garanties, conformité et preuves

Qu'est-ce qu'un vote électronique sécurisé ? Les 4 garanties fondamentales

Un vote électronique sécurisé est un scrutin en ligne dont l'architecture technique et organisationnelle garantit qu'aucun acteur — organisateur, prestataire, hébergeur ou attaquant externe — ne peut altérer le résultat ni rompre le secret du vote. La sécurité n'est pas une option : elle conditionne l'opposabilité juridique des décisions prises. Un scrutin électronique sécurisé doit donc reposer sur quatre garanties indissociables.

Ces quatre garanties — secret, sincérité, intégrité, confidentialité — sont au cœur des recommandations de la CNIL et de la jurisprudence sur le vote en ligne. Elles doivent être assurées de l'authentification jusqu'à la publication des résultats, et démontrables a posteriori.

• Secret du vote : impossible de relier un bulletin à un électeur après dépouillement
• Sincérité du scrutin : chaque électeur vote librement, une seule fois, et son choix est fidèlement enregistré
• Intégrité : aucun bulletin ne peut être ajouté, modifié ou supprimé sans détection
• Confidentialité : les données personnelles sont protégées conformément au RGPD

Vote électronique sécurisé vs sondage en ligne : des différences fondamentales

Un sondage en ligne et un vote électronique sécurisé n'ont en commun que l'interface : derrière, tout diffère. Un sondage recueille des opinions sans garantie d'identité, sans unicité du suffrage, sans secret du vote et sans preuve opposable. N'importe qui peut y répondre plusieurs fois, et les résultats ne produisent aucun effet juridique. Un scrutin électronique sécurisé, à l'inverse, est une procédure réglementée dont chaque étape est tracée, authentifiée et chiffrée.

La différence critique tient à trois mécanismes absents de tout sondage : l'authentification de l'électeur (qui garantit qu'une seule voix est émise par personne habilitée), le chiffrement de bout en bout du bulletin (qui empêche toute lecture ou modification en transit), et la vérifiabilité cryptographique du résultat (qui prouve que le décompte reflète exactement les bulletins déposés). Ces mécanismes sont ce qui confère au vote électronique une valeur juridique, à condition que la plateforme les implémente réellement — point que cette page vous aide à vérifier.

• Sondage : pas d'identification, pas d'unicité, pas de valeur juridique
• Vote sécurisé : électeur authentifié, une seule voix, résultat opposable
• Chiffrement de bout en bout : absent dans un sondage, obligatoire dans un scrutin sécurisé
• Vérifiabilité cryptographique : le résultat peut être recalculé et contesté si altéré
• Traçabilité sans trahir l'anonymat : seul le vote sécurisé résout cette tension

Authentification forte et double authentification : garantir l'identité de l'électeur

La première brèche d'un scrutin en ligne est l'usurpation d'identité. C'est pourquoi l'authentification vote en ligne doit aller au-delà du simple mot de passe. On distingue deux notions souvent confondues. La double authentification (ou authentification à deux facteurs) combine deux preuves d'identité, par exemple un identifiant connu de l'électeur et un code à usage unique (OTP) reçu par SMS ou e-mail. L'authentification forte va plus loin : elle impose au moins deux facteurs de catégories différentes (ce que l'on sait, ce que l'on possède, ce que l'on est) et résiste à l'hameçonnage, comme avec WebAuthn et les passkeys.

Un vote électronique avec double authentification bien conçu sépare les canaux : l'identifiant arrive par un canal (courrier, e-mail) et le code OTP par un autre (SMS, application). Pour les scrutins les plus sensibles, un vote électronique avec authentification forte s'appuie sur des standards résistants au phishing (WebAuthn / passkeys, protocole OPAQUE) afin qu'un identifiant intercepté ne suffise jamais à voter à la place d'un tiers.

• Identifiant + code à usage unique (OTP) par SMS ou e-mail, sur des canaux séparés
• WebAuthn et passkeys : authentification forte résistante à l'hameçonnage
• Limitation et journalisation des tentatives de connexion
• Une voix par électeur : contrôle des doubles votes et des accès concurrents

Chiffrement de bout en bout et anonymat : séparation de l'urne et de l'émargement

Dans un vote en ligne sécurisé, le bulletin est chiffré dès l'appareil de l'électeur (chiffrement de bout en bout, E2EE) : il transite et se stocke sous forme illisible, et n'est déchiffré qu'au moment du dépouillement, collectivement. Les solutions les plus avancées utilisent le chiffrement homomorphique ElGamal, qui permet d'additionner les voix chiffrées sans jamais déchiffrer un bulletin individuel, accompagné de preuves à divulgation nulle de connaissance (zero-knowledge proofs). Le chiffrement symétrique AES-256 sécurise par ailleurs les données au repos et les communications internes.

L'anonymat repose sur un principe simple mais essentiel : la séparation de l'urne et de l'émargement. La liste d'émargement (qui a voté, nécessaire au quorum) est tenue à part de l'urne (ce qui a été voté). Une fois le bulletin déposé et mélangé, il devient cryptographiquement impossible de le relier à un électeur. C'est cette dissociation qui concilie deux exigences contradictoires en apparence : prouver qui a participé, sans jamais révéler le vote de quiconque.

• Chiffrement du bulletin sur l'appareil de l'électeur (chiffrement de bout en bout, E2EE)
• Chiffrement homomorphe ElGamal (Ristretto255) pour un décompte sans déchiffrer les bulletins
• AES-256 pour le chiffrement des données au repos et des communications
• Liste d'émargement strictement séparée de l'urne
• Secret du vote préservé : l'identité est séparée du contenu du vote, les bulletins individuels ne sont jamais déchiffrés

La cérémonie des clés : comment personne ne peut déchiffrer le scrutin seul

L'un des mécanismes les moins connus — et les plus puissants — du vote électronique sécurisé est la cérémonie des clés. Elle résout une question fondamentale : si les bulletins sont chiffrés, qui détient la clé de déchiffrement ? La réponse d'un système véritablement sécurisé est : personne seul. La clé est fractionnée entre plusieurs gardiens indépendants (membres du bureau de vote, expert indépendant, tiers de confiance), de sorte qu'aucun acteur — pas même le prestataire — ne peut ouvrir l'urne sans la coopération d'un quorum de gardiens.

Ce principe, appelé partage de secret ou « threshold decryption », garantit qu'une compromission d'un seul gardien ne suffit pas à déchiffrer les bulletins. En pratique, la cérémonie se déroule en présence des parties prenantes, chacune générant et conservant sa fraction de clé. Le dépouillement ne peut avoir lieu qu'à la clôture du scrutin, lorsque les gardiens réunissent leurs fractions. C'est ce mécanisme que les protocoles comme Belenios (CNRS / INRIA) implémentent — et c'est la preuve la plus solide qu'aucune lecture anticipée n'est possible, même pour l'hébergeur.

• Clé de déchiffrement fractionnée entre plusieurs gardiens indépendants
• Aucun acteur seul — pas même le prestataire — ne peut ouvrir l'urne
• Threshold decryption : dépouillement possible uniquement avec un quorum de gardiens
• Cérémonie des clés documentée et opposable en cas de contestation
• Implémenté dans des protocoles open source auditables (ex. Belenios, CNRS / INRIA)

Vérifiabilité du scrutin : bulletin de vérification individuel et vérifiabilité de bout en bout (E2E-V)

Un scrutin électronique sécurisé ne se contente pas d'être sûr : il doit être vérifiable. La vérifiabilité de bout en bout (E2E-V) permet de prouver, sans avoir à faire confiance aveuglément à la plateforme, que le résultat publié correspond exactement aux bulletins déposés. Elle se décline en trois niveaux : la vérifiabilité individuelle (chaque électeur vérifie que son vote a bien été enregistré, via un bulletin de vérification individuel), la vérifiabilité de l'enregistrement (le vote enregistré est bien celui exprimé) et la vérifiabilité universelle (n'importe qui peut recalculer le résultat à partir de l'urne chiffrée).

Le protocole open source Belenios, développé par le CNRS et l'INRIA, illustre cette approche : son code et son protocole sont publics et auditables, et il fournit des preuves cryptographiques publiques du dépouillement. Cette transparence est l'argument le plus solide face à une contestation, car elle remplace la confiance par la preuve mathématique.

• Bulletin de vérification individuel : l'électeur confirme que sa voix est dans l'urne
• Vérifiabilité universelle : le décompte est recalculable par un tiers
• Preuves à divulgation nulle de connaissance attestant la validité du scrutin
• Protocole auditable (ex. Belenios, CNRS / INRIA) et code source ouvert

Les 3 niveaux de sécurité CNIL : lequel choisir selon votre scrutin

La CNIL définit trois niveaux de sécurité pour le vote électronique, à choisir après une analyse de risque selon les enjeux et les menaces propres à votre scrutin. Le principe : plus l'élection est à enjeu et exposée, plus le niveau exigé est élevé. Cette logique se traduit en arbre de décision concret selon votre type de vote.

À titre indicatif et sous réserve de votre propre analyse de risque : un vote interne associatif à faible enjeu relève généralement du niveau 1 ; une assemblée générale de copropriété ou une AG d'actionnaires se situe souvent au niveau 2 ; les élections professionnelles et celles du CSE, où le risque d'annulation est élevé, appellent fréquemment le niveau 2, voire le niveau 3 en cas de menace avérée ou d'enjeu majeur. Pour les élections du CSE et les scrutins multi-collèges soumis au Code du travail, la recommandation CNIL (délibération n° 2019-053) constitue le cadre de référence applicable, qui peut exiger en outre une habilitation CTEP pour le prestataire. Le niveau retenu détermine les exigences d'authentification, de chiffrement, d'hébergement et d'expertise indépendante.

• Niveau 1 : scrutins à faible enjeu, exigences de sécurité de base
• Niveau 2 : enjeux significatifs (copropriété, AG d'actionnaires, élections professionnelles courantes), expertise indépendante recommandée
• Niveau 3 : enjeux majeurs et menaces avérées, exigences renforcées (authentification forte, expertise et audit indépendants)
• CSE et élections professionnelles : recommandation CNIL délibération 2019-053 et habilitation CTEP du prestataire à vérifier
• Le niveau se détermine par une analyse de risque, pas par défaut

Conformité RGPD, recommandations ANSSI et hébergement en France

Un vote électronique sécurisé traite des données personnelles : il est donc soumis au RGPD. Cela implique une base légale claire, une information des électeurs, une minimisation des données, une durée de conservation limitée et la sécurité du traitement. Les recommandations de la CNIL relatives au vote électronique et les bonnes pratiques de l'ANSSI (chiffrement, journalisation, architecture Zero-Trust) encadrent les mesures techniques à mettre en œuvre.

L'hébergement est un point clé : pour limiter les risques juridiques et l'exposition aux législations extraterritoriales, les données d'un scrutin doivent être hébergées en France, chiffrées au repos et en transit. Pour les scrutins les plus sensibles, un hébergement qualifié SecNumCloud apporte un niveau de garantie supplémentaire. Des certifications comme ISO 27001 ou SOC 2 attestent par ailleurs de la maturité du prestataire en matière de sécurité de l'information.

• Conformité RGPD : base légale, information, minimisation, conservation limitée
• Recommandations CNIL et bonnes pratiques ANSSI appliquées
• Hébergement en France, chiffrement au repos et en transit
• SecNumCloud, ISO 27001 ou SOC 2 selon le niveau d'exigence

Scénarios de crise : attaque, panne ou contestation le jour du scrutin

Les décideurs B2B qui évaluent une solution de vote en ligne posent inévitablement la question : que se passe-t-il si la plateforme est attaquée ou tombe en panne le jour J ? Un vote électronique sécurisé digne de ce nom prévoit des réponses opérationnelles à ces scénarios, et pas uniquement des protections préventives. Face à une attaque par déni de service (DDoS), une infrastructure correctement dimensionnée et géo-répartie maintient la disponibilité du scrutin ; le plan de continuité d'activité doit prévoir une durée de vote suffisante et des mécanismes de reprise en cas d'interruption partielle.

En cas de contestation des résultats après la clôture, la réponse repose entièrement sur les preuves conservées : journal d'audit inaltérable, scellements horodatés, urne chiffrée publiquement vérifiable et rapport d'expert indépendant. Ces éléments permettent de démontrer que le résultat est exact, que l'urne n'a pas été modifiée et que le dépouillement est recalculable. Par ailleurs, toute plateforme traitant des données personnelles est soumise à une obligation de notification à la CNIL en cas de violation de données (article 33 RGPD), dans un délai de 72 heures : vérifiez que votre prestataire dispose d'une procédure documentée à cet effet.

• Attaque DDoS : infrastructure géo-répartie et plan de continuité documenté
• Panne partielle : mécanismes de reprise et durée de vote suffisante pour absorber une interruption
• Contestation : urne chiffrée vérifiable, journal d'audit et rapport d'expert comme preuves opposables
• Obligation RGPD : notification CNIL sous 72 h en cas de violation de données (art. 33 RGPD)
• Vérifiez que le prestataire dispose d'une procédure d'incident documentée et testée

Motifs d'annulation et preuves à conserver

Le risque juridique est réel : un scrutin électronique peut être annulé par le juge en cas de manquement aux garanties fondamentales. Les motifs les plus fréquents tiennent à une authentification insuffisante, à une atteinte au secret du vote, à l'absence de séparation entre urne et émargement, à un défaut de scellement ou de journalisation, ou encore à l'absence d'expertise indépendante lorsqu'elle était requise par le niveau de sécurité retenu.

Pour sécuriser l'opposabilité de votre vote, conservez les preuves : journal d'audit inaltérable, scellements horodatés, rapport d'un expert indépendant et, le cas échéant, constat d'huissier de justice. Ces éléments, sous réserve du cadre applicable à votre organisation, permettent de démontrer la sincérité et l'intégrité du scrutin en cas de contestation.

• Authentification faible ou secret du vote compromis : motifs classiques d'annulation
• Journalisation inaltérable et scellement horodaté de chaque opération
• Expert indépendant et audit de sécurité selon le niveau exigé
• Constat d'huissier de justice possible pour renforcer la preuve

Un vote électronique sécurisé combine authentification forte, chiffrement de bout en bout, séparation de l'urne et de l'émargement, et vérifiabilité de bout en bout (E2E-V). Le niveau de sécurité CNIL se choisit selon votre analyse de risque, et l'opposabilité repose sur des preuves conservées (journalisation, scellement, expert ou huissier) — sous réserve du cadre applicable à votre organisation.