La structure de la République 2.0

La République 2.0 est une république parallèle : à côté de chaque instance réelle, on pose son double, qui fonctionne selon nos règles, avec de vrais votes de vrais inscrits. Cette page dit comment elle est faite.

Et elle commence par ce qui surprend le plus : vous n'y avez pas une identité, vous en avez deux.

Une seule architecture, autant d'instances qu'il le faut

Trois mots suffisent à décrire toute la plateforme :

La personne	Vous. Une seule fois, quel que soit le nombre d'endroits où vous participez.
Le groupe	Ce à quoi vous appartenez : un mouvement, une commune, un collectif. C'est le groupe qui possède — jamais une personne seule.
La campagne	L'endroit où l'on délibère et où l'on vote. Un groupe peut en tenir plusieurs. Une campagne appartient toujours à un groupe : il n'y a pas de campagne orpheline.

Pas de double architecture. Une instance 2.0 — la commune d'à-côté, un conseil départemental, une expérimentation nationale — n'est pas un autre logiciel : c'est la même table, avec une campagne différente. C'est ce qui permet d'en ouvrir une de plus sans rien reconstruire.

Ce qui se dit et se décide à l'intérieur d'une campagne — les deux mondes, le sas, le choix entre CE et DLG — relève de la Délibération CoLGF, qui a ses propres pages. Nous ne le répétons pas ici.

Vos deux identités

L'une parle, l'autre vote. Elles ne se rencontrent jamais, elles ne sont pas rangées au même endroit, et l'une ne permet pas de retrouver l'autre. Ce n'est pas une précaution ajoutée après coup : c'est la structure même du dispositif.

Identité n° 1

Votre identité sociale

Celle avec laquelle vous existez sur la plateforme. Elle porte un nom : le vôtre si vous le voulez, un nom d'usage, un pseudonyme — c'est votre choix, et il n'a aucune conséquence.

Elle sert à tout le reste :

discuter, échanger, débattre ;
vous engager, signer, soutenir ;
la vie associative et commerciale de la plateforme ;
rejoindre un groupe, une campagne, un atelier.

Elle est levable par la justice : sur réquisition d'un procureur, la correspondance entre ce nom et l'état civil peut être ouverte. C'est voulu — la calomnie et la menace doivent pouvoir être poursuivies.

Identité n° 2

Votre identité de vote

Celle qui met un bulletin dans l'urne. Elle ne porte aucun nom. Ce n'est pas un compte : c'est une clé, que vous engendrez sur votre propre appareil, et dont vous seul connaissez la moitié secrète.

Elle ne sert qu'à une seule chose : prouver que vous êtes une personne, et une seule, au moment de voter.

elle ne discute pas ;
elle ne s'engage pas ;
elle n'a pas de profil, pas d'historique, pas d'amis ;
elle n'appartient à aucun groupe.

Elle n'est levable par personne — ni juge, ni maire, ni nous. C'est le seul endroit du dispositif où aucun accès n'a été prévu, et c'est délibéré.

Entre les deux : rien.

Aucun fichier ne contient les deux. Aucune recherche ne peut les rapprocher. Ce n'est pas une règle interne que nous nous engageons à respecter — c'est une impossibilité de construction.

Les deux, côte à côte

	Identité sociale	Identité de vote
Ce qu'elle fait	Discuter, s'engager, échanger, participer à la vie du groupe	Voter. Rien d'autre.
Sous quel nom	Pseudonyme, nom d'usage, ou votre vrai nom — au choix	Aucun nom. Une clé, pas un compte
Qui la délivre	La plateforme, à l'inscription	Vous, sur votre appareil. La mairie ne fait que la sceller sans la voir
Qui connaît le lien avec votre état civil	Votre mairie, sous scellé chiffré. Pas nous	Personne. Le lien n'existe pas
Peut-on la lever ?	Oui — sur réquisition d'un procureur, et uniquement pour des propos	Non. Par personne, à aucune condition
Rattachée à un groupe, une campagne ?	Oui	Non
Ce que nous en savons	Le pseudonyme, et ce que vous publiez sous ce pseudonyme	Rien. Nous ne détenons ni la clé, ni le lien, ni le bulletin
Si vous la perdez	Elle se récupère — c'est un compte	Elle se refait au guichet. Personne ne peut vous la rendre, parce que personne ne l'a

Pourquoi votre vrai nom ne vous met pas en danger

C'est le point que l'on comprend de travers le plus souvent. On croit qu'il faut se cacher derrière un pseudonyme pour que le vote soit secret. C'est l'inverse.

Votre nom affiché est libre précisément parce qu'il ne donne aucun pouvoir sur votre vote. Vous pouvez signer vos interventions de votre nom complet : cela ne rapproche personne de votre bulletin, parce que votre bulletin n'est pas rangé du même côté.

Ce sont deux identités qui ne servent pas à la même chose, et l'une ne vaut jamais preuve de l'autre. Quelqu'un qui saurait tout de votre identité sociale — votre nom, vos publications, vos groupes — ne saurait toujours rien de la façon dont vous avez voté.

Comment la séparation tient

Le procédé s'appelle la signature en aveugle. Il a été publié par le cryptographe David Chaum en 1983, et il se raconte avec une enveloppe.

Vous engendrez vos clés chez vous, sur votre appareil, hors ligne. Vous seul connaissez la moitié secrète.
Vous glissez votre clé publique dans une enveloppe doublée de papier carbone, que vous refermez. Personne ne peut lire ce qu'il y a dedans.
Le maire vérifie votre identité — sur la liste électorale que la mairie détient déjà, sans en extraire ni en copier quoi que ce soit — puis appose son sceau sur l'enveloppe fermée. Il atteste la réception, pas le contenu : il ne l'ouvre pas, et il n'en a pas besoin.
Vous ouvrez l'enveloppe. Le sceau a traversé le carbone. Il se retrouve valide sur votre clé, vérifiable par tous — et personne, pas même celui qui l'a apposé, ne peut dire sur quelle enveloppe il était.
Vous votez avec cette clé scellée. Une clé, une voix. Et elle ne porte pas votre nom.

Le tour de force est au troisième temps : le sceau est apposé sur une enveloppe que le maire ne peut pas lire, et il traverse quand même.

C'est ce qui permet à la fois de garantir une personne, une voix et de rendre le lien impossible à reconstituer. Ce n'est pas une promesse de discrétion : c'est une impossibilité mathématique.

Les trois secrets

Le dispositif entier tient dans ce tableau. Regardez la dernière colonne.

Le secret	Qui le détient	Ce que nous en savons
Votre identité civile, et votre clé d'identité	Vous, et votre mairie	RIEN
Votre code secret de vote	Vous seul — pas même la mairie	RIEN
Le lien entre votre pseudonyme et votre état civil	Votre mairie, sous scellé — ouvrable sur la seule réquisition d'un procureur	RIEN

Quelques questions courtes

Ma mairie sait-elle sous quel pseudonyme je parle ?: Elle est en mesure de l'établir, oui — mais cette correspondance vit sous scellé chiffré, et ne s'ouvre que sur réquisition d'un procureur. Ce n'est pas un masque intégral, et nous ne le présentons pas comme tel : on ne discute pas de la vie d'une commune sous une identité que personne ne peut établir.
Ma mairie sait-elle comment j'ai voté ?: Non. Elle a scellé une enveloppe qu'elle n'a pas ouverte. Le lien entre le sceau qu'elle a apposé et le bulletin que vous déposez n'existe pas.
Et vous, que savez-vous ?: De votre identité civile : rien. De votre vote : rien. Nous ne détenons aucune de ces clés — la case prévue pour la clé de signature communale est vide, et le logiciel refuse qu'on la remplisse.
Alors vous ne détenez aucune donnée personnelle ?: Nous ne dirons jamais cela : ce serait faux. Un pseudonyme est une donnée personnelle, et une empreinte calculée à partir d'un numéro d'électeur reste, en droit, une pseudonymisation — pas une anonymisation. Nous ne prétendrons pas le contraire.
Faut-il être inscrit sur les listes électorales ?: Pour le vote au niveau le plus protecteur, oui — c'est la liste de votre commune qui sert de preuve d'unicité. Les mineurs, les résidents étrangers et les personnes radiées en sont donc exclus aujourd'hui. Il faudra une autre porte pour eux, et nous ne l'avons pas encore ouverte.
Pourquoi ne pas simplement tenir un fichier de tous les citoyens ?: Parce que nous ne voulons pas de cet objet. Un mouvement qui réclame la souveraineté des citoyens n'a rien à faire avec le fichier de tous les citoyens.

Où nous en sommes

Le dispositif du scellé communal existe et fonctionne, mais aucune commune n'a encore délibéré pour l'ouvrir : il attend la première. En attendant, l'unicité repose sur un moyen plus faible, et nous le disons plutôt que de le taire. La séparation des deux identités, elle, est la structure de départ — pas une étape ultérieure.

Où tout cela vit

Une commune n'a pas à devenir hébergeur pour participer. C'est même l'inverse de ce que nous proposons.

	Un profil de mairie, chez nous	Chez elle
Pour qui	Le cas normal. Toute commune qui n'a ni le serveur ni le temps — c'est-à-dire l'immense majorité	Celles qui préfèrent leur propre machine, et les organisations qui l'exigent
Ce qu'il y a à faire	Rien à installer, rien à administrer, rien à sauvegarder. On prend possession d'un profil, et c'est tout	Une machine, et quelqu'un pour s'en occuper
Où reste la clé du scellé	Dans les murs de la mairie	Dans les murs de la mairie

La frontière n'est pas la salle machine : c'est la clé. La signature en aveugle existe précisément pour que l'hébergeur n'ait rien à savoir. Que la plateforme tourne chez nous ou chez elle ne change rien à ce que quiconque peut apprendre de vous — parce que dans les deux cas, la réponse est : rien.

Ce qui emporte la décision d'un maire n'est donc pas de savoir où est le serveur — il ne peut pas venir l'auditer. C'est de pouvoir faire lire le code. C'est pour cela que cette partie-là sera ouverte. Voir Le code : fermé, puis remis.

Pour aller plus loin

Le scellé communal — le procédé en détail, ce qu'il coûte à une mairie, et ce qu'elle n'a pas à faire.
Unicité du citoyen & scellé communal — les quatre moyens de vérifier qu'un votant est une personne et une seule, du plus au moins respectueux, et les dix-sept questions de droit que nous posons ouvertement.
La Délibération CoLGF — deux mondes, un sas.

Références : D. Chaum, Blind signatures for untraceable payments, 1983 · RFC 9474, RSA Blind Signatures, IETF, 2023 · Répertoire électoral unique et numéro national d'électeur (INSEE, 2019).