Authentification des électeurs : prouver l'identité sans casser le scrutin

Authentifier un électeur CSE : de quoi parle-t-on ?

Authentifier, c'est établir trois choses à la fois : que la personne connectée figure bien sur la liste électorale, qu'elle ne vote qu'une seule fois, et qu'elle accède au bon collège. Rien de plus, rien de moins. C'est la porte d'entrée du scrutin. Et si la porte est faible, tout le reste — chiffrement, anonymat, dépouillement — perd sa valeur de preuve : on ne sait plus vraiment qui a déposé chaque bulletin.

Pour une élection du comité social et économique (CSE), ce n'est donc pas un réglage technique parmi d'autres. C'est une condition de sincérité du vote, exigée par le Code du travail et précisée par la CNIL. Un juge qui examine une contestation regarde ça en premier.

Le standard du marché : mot de passe, deux canaux, question défi

Le dispositif que décrivent la quasi-totalité des guides tient en trois briques. Un identifiant et un mot de passe propres au scrutin. Une transmission par deux canaux distincts — l'identifiant par e-mail, le secret par SMS ou courrier, jamais les deux ensemble. Et une question défi : une donnée personnelle que seul l'électeur est censé connaître.

La règle des deux canaux est souvent mal comprise. Envoyer l'identifiant et le mot de passe dans le même e-mail est une non-conformité classique. Et la seule voie postale ne suffit pas pour un scrutin à enjeu : un courrier s'ouvre, se détourne, se reçoit à la place d'un autre. Elle doit être combinée à un second facteur.

La question défi, elle, obéit à des règles précises que beaucoup survolent. La donnée doit être non triviale (ni la date de naissance seule, ni le nom), connue sans recherche, et proportionnée au sens du RGPD. Exemples admis : un NIR tronqué, les cinq derniers chiffres d'un IBAN, un matricule interne non public. À proscrire : l'IBAN complet, un numéro de carte, une donnée de santé.

Ce qu'exige le Code du travail (R.2314-5 à R.2314-18)

L'authentification n'est pas laissée à la discrétion du prestataire : elle découle des articles R.2314-5 à R.2314-18 du Code du travail. Le système doit garantir la confidentialité, la sécurité de l'émission et de la réception du vote, l'intégrité, l'anonymat et la sincérité — autant d'objectifs qui supposent d'authentifier fiablement en amont.

Quatre articles pèsent directement sur l'authentification et son contrôle. Retenez-les : ce sont eux qu'un expert ou un avocat ira vérifier.

La CNIL en 2026 : niveaux de risque 1, 2 et 3

Attention, la référence a changé. La recommandation en vigueur est la délibération CNIL n°2026-045 du 19 mars 2026, qui abroge celle de 2019 (n°2019-053) et celle de 2010. Beaucoup de prestataires citent encore le texte de 2019 : c'est un signal à ne pas négliger quand vous comparez des offres.

La logique, elle, ne bouge pas : une approche par les risques. L'employeur, responsable de traitement, classe son scrutin dans l'un des trois niveaux, puis applique des mesures proportionnées. L'authentification se durcit du niveau 1 au niveau 3.

Le point qu'on relie rarement : plus le niveau exigé monte, plus la faiblesse d'un mot de passe transmis devient gênante. Au niveau 3, on réclame des garanties cryptographiques fortes en aval (chiffrement, vérifiabilité) tout en tolérant, en amont, un secret qui circule. Cette asymétrie est le vrai talon d'Achille du standard.

Le maillon faible : un secret qui circule

Posons la question que personne n'aime poser : le mot de passe suffit-il à garantir l'identité de l'électeur ? Non. Il l'établit avec un niveau d'assurance moyen. Un mot de passe reste un secret partagé — connu du système, transmis sur un réseau, reçu par l'électeur. Donc exposé à toute la chaîne qui les sépare.

Les attaques ne demandent aucune compétence rare. L'hameçonnage : un faux courriel imitant l'employeur pousse l'électeur à saisir ses accès sur une page pirate. L'interception : un message lu sur un téléphone partagé, un courrier ouvert par un proche. L'extorsion ou le rejeu : un mot de passe communiqué sous pression. Aucune de ces attaques ne touche à l'urne — il suffit de voter à la place de quelqu'un.

En clair : un secret qui ne circule pas est un secret qu'on ne peut pas intercepter. Le standard répartit le risque sur deux canaux pour limiter les dégâts. Une autre approche supprime la cause.

L'alternative : authentification sans mot de passe (WebAuthn PRF)

C'est ici que CSE Election, marque blanche de la technologie Sephos, quitte le paradigme commun. WebAuthn est un standard ouvert d'authentification forte sans mot de passe (W3C, FIDO Alliance), déjà déployé à grande échelle par les grands services en ligne. L'électeur ne reçoit ni ne saisit de mot de passe : il s'authentifie par une clé d'accès (passkey), une clé matérielle ou la biométrie de son appareil.

L'extension PRF ajoute l'essentiel pour un scrutin : dériver localement, sur le terminal, un secret cryptographique propre à l'électeur et à l'élection. Ce secret n'est jamais transmis au serveur. Il n'y a donc rien à intercepter, rien à hameçonner, rien à répartir sur deux canaux. Et la signature WebAuthn est liée au domaine légitime : une page pirate ne peut pas la capter.

Un mot sur la biométrie, qui inquiète parfois à tort. L'empreinte ou le visage ne quittent jamais l'appareil ; ils servent seulement à débloquer localement la clé privée. Le serveur ne reçoit qu'une preuve cryptographique, jamais un gabarit biométrique. Quant à FranceConnect, il vise l'accès des particuliers aux services publics — inadapté à une élection professionnelle privée. Le certificat RGS offre une force comparable mais reste lourd à déployer ; WebAuthn en donne la propriété de sécurité sans l'infrastructure de certificats.

Authentifier sans lever l'anonymat : QUE vous avez voté, jamais POUR QUI

Voilà l'apparente contradiction que toute solution doit trancher : identifier fortement l'électeur pour empêcher l'usurpation, sans jamais garder de lien entre cette identité et son bulletin. La réponse tient dans un principe d'architecture — ce qui prouve l'identité ne doit jamais toucher ce qui contient le vote.

Deux mécanismes se conjuguent. La séparation des systèmes imposée par R.2314-7 : le fichier d'authentification et d'émargement d'un côté, l'urne de l'autre, sans lien exploitable. Et un découplage architectural : sur CSE Election, le moment de l'authentification WebAuthn et celui du dépôt du bulletin chiffré ne sont pas liés, de sorte que ni l'horodatage, ni l'ordre de dépôt, ni les journaux ne reconstituent le lien identité-vote.

L'émargement, lui, reste légitime : il prouve la participation, bloque le double vote et fonde le quorum (la moitié des inscrits par collège). Il enregistre QUE vous avez voté, jamais POUR QUI. Cette frontière n'est pas une promesse contractuelle — c'est une propriété de l'architecture, vérifiable par un expert indépendant.

De l'authentification au bulletin compté : la preuve, pas la confiance

Reste le lien que presque tout le marché laisse dans le flou : à quoi bon authentifier fortement si l'on ne peut pas prouver que le bulletin de cet électeur a bien été compté ? L'authentification n'est que le premier maillon. CSE Election le relie explicitement au reste de la chaîne cryptographique.

Après l'authentification, le bulletin est chiffré dès le terminal (chiffrement homomorphe à seuil, ElGamal sur la courbe Ristretto255) et accompagné de preuves (FCMP++, Generalized Bulletproofs) attestant qu'il est bien formé, sans jamais le déchiffrer. Il entre dans un journal en ajout-seul, horodaté et chaîné. À la clôture, la clé de l'urne — générée en DKG et répartie entre plusieurs détenteurs de confiance (trustees) — n'ouvre que l'agrégat : aucun bulletin individuel n'est jamais déchiffré.

D'où une affirmation que les discours e-vote génériques ne peuvent pas tenir : un électeur authentifié peut vérifier que son bulletin est bien dans l'urne, sans que personne n'en lise le contenu ni ne le relie à lui. Côté coercition : le système ne délivre aucun reçu du contenu du vote. On prouve qu'on a voté, pas pour qui. La pression et l'achat de voix sont fortement réduits par conception, sans prétendre à une impossibilité absolue. Sur le plan RGPD, l'employeur reste responsable de traitement et CSE Election / Sephos intervient comme sous-traitant (art. 28), la base légale étant l'obligation légale d'organiser les élections (Code du travail, art. L.2314-4).

Questions fréquentes