Vote électronique : sécurité, audit et limites, ce que dit l'état de l'art technique
Pas de « cybersécurité absolue » : c'est la première leçon des référentiels internationaux sur le vote électronique. Vérifiabilité de bout en bout, publication du code source, audits limitant le risque : l'état de l'art technique d'un sujet qui reste prospectif au Maroc.
Vote électronique : sécurité, audit et limites, ce que dit l'état de l'art technique
Pas de « cybersécurité absolue » : c'est la première leçon des référentiels internationaux sur le vote électronique. Vérifiabilité de bout en bout, publication du code source, audits limitant le risque : l'état de l'art technique d'un sujet qui reste prospectif au Maroc.
---
Un sujet encore prospectif au Maroc
De la Carte nationale d'identité électronique (CNIE) aux portails de services publics, la dématérialisation des démarches administratives avance au Maroc. Le vote reste en revanche un geste papier : bulletin, isoloir, urne transparente. En l'absence d'annonce officielle, le passage au vote électronique, qu'il s'agisse de machines en bureau de vote ou de vote à distance par Internet, demeure une hypothèse de travail et non un programme. Cet article s'en tient à la question technique : que peut-on exiger d'un tel système, et que faut-il cesser de promettre ?
---
L'exigence centrale : la vérifiabilité de bout en bout
Le défi cryptographique du vote électronique tient en une tension : garantir le secret du bulletin tout en permettant de vérifier qu'il a bien été compté. Les systèmes déployés y répondent par deux niveaux de contrôle :
- La vérifiabilité individuelle : chaque votant peut contrôler que son bulletin chiffré a bien été enregistré, sans révéler son contenu.
- La vérifiabilité universelle : n'importe quel observateur peut contrôler que le dépouillement a correctement compté les bulletins enregistrés.
L'Estonie, qui pratique le vote par Internet depuis 2005, documente publiquement son protocole : bulletin chiffré côté votant, signature numérique pour l'identification, séparation des signatures avant le dépouillement pour anonymiser les votes, clé de déchiffrement partagée entre les membres de la commission électorale nationale, puis audit d'intégrité auquel observateurs et auditeurs peuvent participer. La transparence du protocole est elle-même une mesure de sécurité.
---
Ce que les audits ont révélé : deux précédents documentés
France, 2017. Sur recommandation de l'Agence nationale de la sécurité des systèmes d'information (ANSSI), le gouvernement a renoncé au vote par Internet pour les élections législatives des Français de l'étranger, face à un niveau de menace de cyberattaques jugé « extrêmement élevé ». Le retour d'expérience souligne qu'un système de vote est une cible de premier plan, à protéger comme telle.
Suisse, 2019. La Poste suisse a soumis son futur système de vote électronique à un test d'intrusion public, avec publication du code source : plus de 3 000 experts étaient invités à chercher les failles. Résultat : une erreur critique dans le mécanisme de vérifiabilité universelle, qui aurait théoriquement permis de manipuler des votes sans laisser de preuve, a été découverte et corrigée avant toute utilisation réelle. L'épisode démontre l'intérêt de la transparence, et la fragilité des promesses non auditées.
---
Ce que la recherche recommande
Le rapport « Securing the Vote » (2018) des Académies américaines des sciences, de l'ingénierie et de la médecine formule la position de référence : à ce stade, Internet ne devrait pas servir au retour des bulletins remplis, et le vote par Internet ne devrait être envisagé que lorsque des garanties très robustes de secret, de sécurité et de vérifiabilité existeront. Ses autres recommandations structurent l'état de l'art : bulletins papier lisibles par l'humain comme preuve de référence, et audits limitant le risque, c'est-à-dire un échantillonnage statistique de bulletins capable de détecter un résultat incorrect, avant la certification des résultats.
Autrement dit : il n'existe pas de « cybersécurité absolue ». La confiance se construit par des preuves vérifiables, code publié, audits indépendants, tests d'intrusion publics, et non par des affirmations. La « blockchain », souvent présentée comme solution miracle, ne dispense d'aucune de ces exigences.
---
Ce que ça change pour la tech marocaine
Si le débat émerge un jour au Maroc, il portera d'abord sur des compétences : cryptographie appliquée, audit de code, gestion d'infrastructures critiques, certification de systèmes. Autant de domaines où l'écosystème national, opérateurs télécoms, sociétés de cybersécurité, Direction générale de la sécurité des systèmes d'information (DGSSI), dispose déjà d'une base de travail.
La lecture technique impose aussi une hiérarchie : avant de discuter l'outil, il faut les garanties. Publication du code source, audits indépendants, tests d'intrusion publics et procédures de vérification accessibles aux citoyens sont les préalables documentés par tous les pays qui se sont confrontés au sujet. Le reste relève de choix politiques, qui ne sont pas l'objet de cet article.
---
Article initialement publié le 23 septembre 2026, réécrit le 26 octobre 2026 dans le cadre de la remise à niveau éditoriale de Digital.ma.
Sources :
- National Academies of Sciences, Engineering, and Medicine, « Securing the Vote: Protecting American Democracy » (2018) : nationalacademies.org
- Bureau électoral estonien, protocole et cadre général du vote par Internet : valimised.ee
- Chancellerie fédérale suisse, test d'intrusion public du système de La Poste (2019) : bk.admin.ch
- La Poste suisse, « Error in the source code discovered and rectified » (2019) : post.ch
- France Diplomatie, annulation du vote électronique aux législatives 2017 sur recommandation de l'ANSSI : ambafrance.org