Le scellé communal
La mairie signe
la réception d'un code
qu'elle ne voit pas.
Elle atteste que vous existez, que vous êtes inscrit chez elle, et que vous n'êtes venu qu'une fois. Ce qu'elle scelle, elle ne le lit pas — et nous, nous ne le voyons jamais.
Une personne, une voix — sans que personne ne tienne le fichier
Le problème, en trois lignes
Un vote citoyen n'a de sens que si chaque votant est une personne, et une seule. Mais pour le vérifier, tout le monde fait la même chose : constituer un fichier de gens. Et un fichier de gens qui votent, quelle que soit la sincérité de celui qui le tient, est un fichier de gens qui votent.
Comment c'est possible : l'enveloppe carbonée
Le procédé s'appelle la signature en aveugle. Il a été publié par le cryptographe David Chaum en 1983, il est enseigné dans les cours de sécurité, et il fonctionne exactement comme un objet en papier que n'importe qui peut fabriquer sur une table de cuisine : une enveloppe doublée de carbone.
TEMPS 1
Chez vous
TEMPS 2
Chez vous
TEMPS 3
En mairie
TEMPS 4
Chez vous
TEMPS 5
Partout
Qui sait quoi, à la fin
| Le secret | Qui le détient | Ce que nous en savons |
|---|---|---|
| Votre identité civile et le fait que vous ayez été scellé | Vous, et votre mairie | Rien. |
| Votre code secret de vote | Vous seul — pas même la mairie | Rien. |
| Le lien entre votre pseudonyme de quartier et votre état civil | La mairie, sous scellé, ouvrable sur la seule réquisition du procureur | Rien. |
Cette dernière ligne mérite d'être dite en entier. Sur les réseaux citoyens de proximité — sa rue, son école, son quartier — chacun intervient sous un pseudonyme.
Deux jetons, deux régimes, et il ne faut jamais les confondre. Le jeton de parole porte le pseudonyme : il est levable par la justice, parce que la calomnie et la menace doivent pouvoir être poursuivies. Le jeton de vote n'est levable par personne : ni juge, ni maire, ni nous. C'est le seul endroit du dispositif où nous n'avons prévu aucun accès, et c'est délibéré.
Ce que personne ne pourra jamais reconstituer
- Quel jeton est allé à quelle personne. Le lien n'existe nulle part, chez personne — il n'a jamais été écrit.
- Ce que la mairie a scellé. Elle a signé un nombre sans forme lisible ; ouvrir ses archives ne rend rien.
- Comment vous avez voté. Même en saisissant tous nos serveurs, toutes nos sauvegardes et toutes nos clés en même temps.
Ce n'est pas une promesse de bonne conduite : c'est une conséquence mathématique. Une organisation qui promet de ne pas relier cède le jour où la pression suffit. Une organisation qui ne peut pas relier n'a rien à céder — et une réquisition adressée à qui ne détient rien repart vide.
Ceci n'est pas une idée neuve : c'est une dette payée
Bien avant cette plateforme, le standard M.S.Y. — GeoMANET posait une exigence que ni le droit ni les chartes ne savent tenir :
« Le réseau ne dispose pas, par conception, des moyens techniques permettant de telles opérations, et ne peut être contraint à coopérer à des actions qu'il est structurellement incapable d'effectuer. »
M.S.Y. — Secret institutionnel de proximité, article 2.5. Le texte complet.
Exigence d'incapacité, donc — pas de discrétion. Elle est restée longtemps sans réponse technique. Le scellé communal est cette réponse, et la correspondance est article par article :
| Le standard, article 2 | Ce que ça devient dans la machine |
|---|---|
| 2.1 à 2.3 — l'autorité locale est tiers de confiance institutionnel | La commune vérifie sur sa liste, signe avec sa clé. Sa clé privée reste dans ses murs : chez nous, la case prévue pour elle est vide, et le logiciel refuse qu'on la remplisse. |
| 2.4 — divulgation sur la seule injonction judiciaire, portant exclusivement sur l'identité civile | Le jeton de parole : le pseudonyme de quartier, levable par le procureur. Parce que la calomnie et la menace doivent pouvoir être poursuivies. |
| 2.5 — incapacité structurelle | Le jeton de vote : la signature en aveugle. Levable par personne, y compris par nous. |
| 2.6 — non-exposition : nul ne doit courir un risque accru du fait même d'avoir confié son identité | Deux registres, deux secrets différents. Sans cette précaution, s'inscrire aurait suffi à se rendre retrouvable : se protéger aurait augmenté le risque. |
Et la Garde Civile, dans tout ça
L'article 3 du même standard lui confie la protection des « infrastructures civiques : mairies, stations réseau ». Ce n'est pas un sujet à côté : le scellé et la garde sont le même sceau, sur deux plans.
La Garde Civile n'est ni une milice ni une force parallèle : une force de protection civile, d'ancrage communal, sans pouvoir d'interpellation, en interdiction formelle de tout contact avec le gouvernement. Sa mission est de protéger les élus locaux, les infrastructures civiques et les données des citoyens. Cette dernière ligne, jusqu'ici, était une intention ; elle a désormais un objet précis à protéger.
Ce que ça demande à une mairie
Beaucoup moins qu'on ne le croit, et il faut le dire précisément, parce que c'est ce qui décidera un maire.
| Ce qu'il faut | Ce que c'est, concrètement |
|---|---|
| La liste électorale | Celle qu'elle tient déjà. Aucune extraction, aucune copie, aucun envoi. La vérification se fait là où la donnée vit. |
| Une paire de clés | Engendrée dans ses murs, en une seconde. La moitié publique est publiée ; la moitié secrète ne sort jamais. |
| Le logiciel | Une centaine de lignes. Il tient dans un fichier, il est lisible par un agent, et il ne fait rien d'autre que signer un nombre. |
| Le geste, au guichet | Vérifier une pièce d'identité — ce que l'agent fait déjà — puis valider. Quelques secondes. |
| Ce qu'elle peut montrer à son conseil | Un nombre : « nous avons délivré 1 240 scellés ». Sans rien ouvrir, et sans nommer personne. |
Ce qui est déjà vrai aujourd'hui
Cette page ne décrit pas un projet. Le dispositif est écrit, déployé et éprouvé ; ce qui manque, ce n'est pas la technique.
— rien d'expérimental
pour une mairie
au vert
sur un scellé communal
Ce dernier zéro n'est pas une figure de style : c'est une colonne de notre base, publiée, et une vérification automatique le recompte à chaque livraison. Un scellé communal n'écrit rien chez nous.
Deux niveaux de sécurité, et la limite exacte de chacun
| Niveau | Qui vérifie | Ce que ça empêche | Ce que ça n'empêche pas |
|---|---|---|---|
| Minimal actif aujourd'hui |
Nous. La personne nous communique son numéro d'électeur. | Qu'une même personne ouvre deux comptes et vote deux fois. | Qu'un numéro soit inventé, ou emprunté à quelqu'un d'autre. Et nous détenons une empreinte de ce numéro — ce que nous ne souhaitons pas. |
| Maximal prêt, sans commune |
La mairie, sur la liste qu'elle tient déjà. | L'invention comme l'emprunt : l'identité est vérifiée sur pièce, par l'autorité qui l'établit. Et nous ne détenons rien du tout. | Rien de connu, à ce niveau de vérification. |
Le niveau minimal est celui auquel nous sommes contraints tant qu'aucune commune ne signe. Il est décrit sans complaisance, avec les quatre méthodes possibles et le coût de chacune, sur la page les quatre niveaux de sécurité. Le scellé communal est le seul qui nous dispense de détenir quoi que ce soit, et c'est le seul que nous voulions employer.
Ce qui n'est pas tranché, et que nous ne cacherons pas
La technique est prête ; le droit ne l'est pas. Ces questions sont ouvertes, numérotées, et nous n'avancerons pas en faisant comme si elles ne l'étaient pas. Toute réponse argumentée d'un juriste, d'un secrétaire de mairie ou d'un magistrat nous intéresse.
LOI#11 — Une mairie peut-elle sceller un jeton d'unicité pour un dispositif privé ? Sur quel fondement, et le maire agit-il comme autorité d'état civil ou à titre volontaire ?
LOI#12 — La commune devient-elle responsable de traitement ? Faut-il une convention, une délibération du conseil municipal ?
LOI#13 — Le dépôt sous scellé d'une clé chiffrée en mairie relève-t-il d'un régime existant (dépôt, séquestre) ou faut-il l'établir par contrat ?
LOI#14 — Ouverture sur réquisition judiciaire : quelle procédure ? Et un jeton de vote techniquement non levable est-il tenable en droit ?
LOI#16 — Un pseudonyme dont la correspondance à l'état civil est détenue par la mairie : quel régime ? La commune devient-elle responsable d'un service de proximité ?
LOI#17 — Un jeton de vote non levable même sur réquisition est-il opposable en droit français, ou faut-il prévoir une voie que nous refusons par principe ?
LOI#7 — Le numéro national d'électeur est-il une donnée personnelle ordinaire, ou relève-t-il d'un régime particulier d'identifiant attribué par l'État ?
LOI#8 — Une empreinte à secret d'un tel numéro est-elle une pseudonymisation (donnée toujours personnelle) ou une anonymisation ? Notre lecture technique : pseudonymisation — et nous le disons même si ça nous dessert.
Sources
D. Chaum, Blind signatures for untraceable payments, Crypto '82 (actes 1983) · RFC 9474, RSA Blind Signatures (IETF, 2023) · Standard M.S.Y. — GeoMANET, Secret institutionnel de proximité, articles 2 et 3 · Code électoral, articles L.30 et suivants (listes électorales) · Répertoire électoral unique et numéro national d'électeur (INSEE, 2019).
Note d'honnêteté technique : notre mise en œuvre actuelle emploie une signature en aveugle RSA à haché de domaine complet. Le standard IETF (RFC 9474) est plus récent et plus robuste ; la migration est identifiée et doit précéder tout scrutin réel. Nous préférons écrire cette phrase que la laisser trouver.