← Tous les articles11 juillet 2026

Un correcteur liquide a décidé une élection — jusqu'à ce que les tribunaux s'en aperçoivent

Un petit flacon de correcteur blanc a altéré suffisamment de feuilles de dépouillement pour annuler une élection présidentielle entière — et les tribunaux ont dit qu'aucune assurance officielle ne pouvait réparer cela.

C'est la matinée du 3 février 2020, et cinq juges à Blantyre, au Malawi, viennent de faire quelque chose qui a secoué chaque autorité électorale du continent : ils ont annulé la victoire électorale d'un président en fonction.

Non parce que les bulletins ont été volés. Non parce que les votes ont été piratés. Parce que quelqu'un avait un flacon de Tipp-Ex.

Ce seul détail — le correcteur liquide, le genre que les étudiants utilisent pour corriger leurs devoirs — s'est avéré suffisant pour rendre l'ensemble d'un résultat présidentiel juridiquement invérifiable. La Cour constitutionnelle du Malawi a annulé l'élection de mai 2019 du Président Peter Mutharika après avoir découvert que les feuilles de résultats officielles avaient été altérées avec du correcteur liquide, que des formulaires de dépouillement en doublon existaient, et que des piles de formulaires n'étaient pas signées ou mal manipulées. La Cour suprême d'appel a confirmé cette décision le 8 mai 2020, dans l'affaire Mutharika & Electoral Commission v Chilima & Chakwera (MSCA Constitutional Appeal No. 1 of 2020). Une nouvelle élection a été ordonnée.

La Commission électorale avait déclaré Mutharika vainqueur de justesse. La réponse des tribunaux était précise : un vainqueur de justesse sur des documents qui peuvent être discrètement effacés n'est pas un vainqueur que la loi peut vérifier.

Le document est l'élection

Voici la chose à laquelle la plupart des gens ne pensent pas le soir des élections, quand les graphiques tournent et les présentateurs parlent de marges : chaque chiffre que vous voyez a pour origine une marque sur une feuille de papier physique quelque part, remplie par un être humain dans un bureau de vote, à 22 heures, avec le stylo qui était à portée de main.

Cette feuille est l'élection. Pas le graphique à la télévision. Pas la base de données au centre de dépouillement national. Pas le communiqué de presse de la Commission électorale.

Si cette feuille peut être altérée — avec un stylo, avec du correcteur liquide, en la remplaçant simplement par un doublon — alors tout ce qui en découle est construit sur du sable. La base de données est fausse. Le graphique est faux. Le communiqué de presse est faux. Et de manière cruciale, aucun audit de la base de données ne détectera le problème, car la base de données reflète la feuille altérée.

Ce n'est pas un risque abstrait. Au Malawi, les tribunaux ont découvert que cela se produisait à grande échelle : utilisation généralisée de correcteur liquide sur les formulaires de dépouillement officiels, des doublons en circulation, des documents non signés entrant dans le dépouillement. Le résultat était une élection présidentielle qui ne pouvait pas être reconstruite à partir de ses propres documents sources.

La leçon n'est pas que le Malawi est uniquement corrompu. La leçon est qu'une feuille de dépouillement sans preuve d'altération est une surface d'attaque, n'importe où dans le monde, et que la fragilité est invisible jusqu'à ce que quelqu'un conteste le résultat devant les tribunaux.

Ce que « inviolable » signifie réellement

Vous avez probablement manipulé un sceau inviolable sans y penser. La bande plastique sur une bouteille de médicament. La cire sur un document juridique. Le serre-câble numéroté sur un sac de bulletins après la fermeture du scrutin.

Ce ne sont pas seulement des cérémonies. Ils servent une fonction de vérification spécifique : si le sceau est cassé ou le document est altéré, la preuve de l'altération est elle-même visible. Vous n'avez pas à faire confiance à personne n'a touché la bouteille ; vous pouvez voir que l'anneau est intact.

Un formulaire de dépouillement officiel qui peut être effacé avec du correcteur liquide n'a rien de cela. L'altération ne laisse aucune trace évidente. Le chiffre « corrigé » a exactement l'air aussi autorisé que l'original. Un formulaire signé seulement après la correction ne peut pas attester de quel était le chiffre original.

La version plus robuste de preuve d'altération pour un document papier est la multi-signature : si le formulaire est signé par des agents représentant plusieurs parties, à l'encre, avant que quiconque quitte le bureau de vote, alors toute altération ultérieure nécessite soit de falsifier toutes ces signatures, soit d'obtenir l'accord de tous ces agents pour le changement. L'un ou l'autre chemin est beaucoup plus difficile qu'une bouteille de Tipp-Ex.

Allez plus loin : le formulaire pourrait être immédiatement photographié par l'agent de chaque parti sur son propre téléphone et téléchargé. Maintenant, l'« original » existe en plusieurs copies indépendantes au moment où il est créé. Une altération ultérieure au formulaire physique peut être détectée en le comparant à l'une de ces copies.

Plus loin encore : un système pourrait exiger que les formulaires de résultats soient signés numériquement avec une clé que chaque agent détient indépendamment, et que les données signées soient transmises à un référentiel public au moment où le bureau de vote ferme. Maintenant, le résultat est cryptographiquement verrouillé au moment du dépouillement. Aucun correcteur liquide ne peut le toucher.

Aucun de ces éléments n'est exotique. Tous existent. La plupart du monde ne les utilise pas.

Kenya, 2017 : le même problème, un niveau plus haut

La vulnérabilité du Malawi était au niveau du formulaire physique — le papier qu'un bureau de vote remplit. Mais le même principe s'applique à chaque niveau de la chaîne.

Au Kenya en 2017, la Cour suprême a annulé une élection présidentielle non pas parce que les formulaires de résultats du bureau de vote étaient manifestement altérés, mais parce que la transmission et la manipulation de ces formulaires au niveau national ne pouvaient pas être vérifiées. En vertu de l'article 86 de la constitution du Kenya, le vote doit être « exact, vérifiable, sûr, responsable et transparent ». La Cour a constaté que tous les formulaires de résultats des bureaux de vote n'avaient pas été transmis électroniquement et simultanément comme l'exige la loi, que les formulaires manquaient de caractéristiques de sécurité cohérentes, et que le formulaire de dépouillement national final n'avait ni filigrane ni numéro de série. Le président avait déclaré le résultat avant que tous les formulaires sous-jacents ne soient en main.

Consultez le jugement complet de la Cour suprême du Kenya.

Le point plus profond — identique dans les deux cas — est celui-ci : un résultat électoral est une chaîne de custody, pas un chiffre. Chaque lien de cette chaîne, du moment où un électeur marque un bulletin au moment où un vainqueur est déclaré, doit être indépendamment vérifiable. Cassez un lien et la chaîne entière ne peut pas être digne de confiance, même si tous les autres liens sont parfaits.

La chaîne du Malawi s'est cassée au lien le plus basique : le document source. Celle du Kenya s'est cassée dans la transmission et l'agrégation. La vulnérabilité est différente ; le mode de défaillance est le même.

Ce que « l'audit l'a confirmé » signifie réellement

Quand une autorité électorale dit qu'un audit a confirmé le résultat, cette déclaration n'est aussi solide que ce qui a été audité.

Si les auditeurs ont comparé les totaux des machines aux feuilles de dépouillement, et que les feuilles de dépouillement avaient été altérées avant l'audit, l'audit confirme le résultat altéré. Il ne détecte rien.

C'est la limitation irréductible de tout audit qui fonctionne rétrospectivement à partir d'une seule chaîne de documents. Un audit ne peut détecter que les altérations qui ont laissé une trace détectable — dans les documents spécifiques que les auditeurs examinent, en utilisant les méthodes spécifiques qu'ils appliquent. Si le document source est le point d'attaque, auditer les enregistrements dérivés vous ne dit rien sur la source.

Le dépouillement manuel de la Géorgie en 2020 — environ cinq millions de bulletins, comté par comté, en moins de six jours — est la version la plus robuste d'un audit papier. Il a comparé les tabulations des machines aux bulletins physiques eux-mêmes, et non aux feuilles de dépouillement. La variation était environ un dixième de un pour cent. C'est un résultat extraordinaire, et cela signifie quelque chose de précis : les bulletins que les machines ont dépouillés étaient, avec un haut degré de confiance, les bulletins que les électeurs ont marqués.

Mais cette confiance dépend entièrement de l'intégrité de la chaîne de custody des bulletins. Si les bulletins eux-mêmes avaient été altérés ou remplacés avant le recomptage, le dépouillement manuel aurait confirmé la fraude, et non l'aurait détectée. Le dépouillement manuel de la Géorgie a fonctionné parce que la chaîne de bulletins était intacte. Au Malawi, la chaîne des feuilles de dépouillement ne l'était pas.

L'écart entre « l'audit a confirmé le résultat » et « le résultat est vérifiablement correct » est exactement la taille de chaque hypothèse non examinée dans la chaîne de custody de l'audit.

La feuille de dépouillement altérable est une lacune avec un nom

Chez TrustVoting, nous suivons une classe spécifique de vulnérabilité appelée la feuille de dépouillement altérable — la lacune qui s'ouvre quand le document source d'un résultat peut être effacé, dupliqué ou remplacé sans que l'altération soit détectable par une partie indépendante.

Le Malawi est l'exemple le plus clairement documenté par les tribunaux, mais la condition sous-jacente — les feuilles de dépouillement qui ne comportent pas de signature cryptographique, pas d'attestation multi-partite, pas de timestamp immuable, et pas de copie détenue indépendamment — est commune dans des dizaines de systèmes électoraux. L'affaire du Malawi est remarquable non pas parce qu'elle était inhabituelle, mais parce que les tribunaux avaient assez de preuves pour agir.

La question est : combien d'élections ont la même vulnérabilité et personne avec qualité pour la contester, ou aucune cour disposée à agir, ou aucune preuve qui a survécu au dépouillement.

Découvrez comment cette lacune est commune dans le monde →

La réponse structurelle : la vérifiabilité qu'aucun officiel ne peut contourner

Voici l'argument énoncé clairement.

Le problème au Malawi n'était pas que les élus n'étaient pas dignes de confiance. Le problème est que le système vous forçait à leur faire confiance. La feuille de dépouillement n'avait aucune propriété qui permettrait à quelqu'un d'autre — un agent du parti perdant, un journaliste, un citoyen — de vérifier indépendamment que le chiffre sur la feuille était le chiffre enregistré au moment du dépouillement.

Quand un système exige la confiance, il est vulnérable à celui qui contrôle l'élément de confiance. Le Tipp-Ex est bon marché. Tout comme un formulaire en doublon. Tout comme un commissaire électoral sympathique qui décide quelle version d'une feuille contestée entre dans le dépouillement.

La réponse structurelle est de concevoir des systèmes où la confiance n'est pas requise, car la vérification indépendante est possible.

À quoi cela ressemble-t-il en pratique ?

Cela signifie que les formulaires de résultats sont signés par des agents de tous les partis en lice, au bureau de vote, avant que quiconque ne parte — et que ces signatures sont sur le dossier utilisé pour compiler le résultat national. Ce n'est pas une idée nouvelle ; c'est une pratique standard dans les élections bien organisées, et son absence au Malawi faisait partie de ce que les tribunaux ont remarqué.

Cela signifie que les formulaires signés sont photographiés et les images téléchargées immédiatement, de sorte que toute altération ultérieure au document physique est détectable par comparaison.

Cela signifie que les données téléchargées sont signées cryptographiquement avec une clé détenue par une partie indépendante — pas la commission électorale — de sorte que le dossier « officiel » ne peut pas être discrètement modifié entre le téléchargement et la publication.

Cela signifie que le résultat publié, au niveau du précinct, est immédiatement téléchargeable sous forme lisible par machine par quiconque, de sorte que la somme des résultats des précincts est indépendamment calculable sans demander la permission de personne.

Aucune de ces propriétés ne nécessite de faire confiance à la commission électorale pour avoir dépouillé honnêtement. C'est précisément le point. La vérifiabilité signifie que quiconque peut vérifier l'arithmétique. Cela ne signifie pas que quiconque doit accepter l'arithmétique de bonne foi.

Ce qui est toujours non vérifiable — et ce qui changerait cela

Voici ce que les tribunaux du Malawi pouvaient vérifier : que du correcteur liquide avait été appliqué aux formulaires officiels, que des doublons existaient, que les signatures manquaient. Voici ce qu'ils ne pouvaient pas vérifier : quels étaient les chiffres originaux, non altérés.

Cette information est perdue. L'élection ne peut pas être reconstruite à partir des documents sources qui auraient dû en être la fondation, car les documents sources ont été effacés. Le seul recours des tribunaux était d'annuler le résultat et de tenir un nouveau vote.

Un système avec des copies détenues indépendamment et cryptographiquement verrouillées de chaque résultat de bureau de vote, créées au moment du dépouillement et détenues par des parties en dehors du contrôle de la commission électorale, permettrait à un tribunal — ou à un journaliste, ou à l'équipe juridique d'un candidat perdant — de comparer le chiffre « officiel » avec le dossier original signé et de voir exactement où l'altération s'est produite et de combien.

Cette comparaison est actuellement impossible dans la plupart des élections du monde. Les documents sources sont détenus par la même autorité qui a compilé le résultat à partir d'eux. L'audit vérifie les dossiers de l'autorité par rapport aux dossiers de l'autorité.

Ce qui le rendrait vérifiable par quiconque : des résultats au niveau du précinct signés, tenus indépendamment, accessibles au public, publiés au moment où chaque bureau de vote ferme, dans une forme qu'aucune autorité ne peut discrètement modifier après coup.

Ce n'est pas un souhait utopique. C'est une spécification technique. Certains des composants existent déjà. Ce qui manque, au Malawi et dans la plupart du monde, c'est le cadre institutionnel et juridique qui l'exige — et la technologie indépendante pour la livrer.

Une cour avec assez de preuves peut annuler un résultat. Un système avec une vérifiabilité véritable n'aurait jamais besoin de le faire.

Lisez la version de 2 minutes de cette lacune →

Consultez l'index complet des lacunes →

Sources

Voir tous les articles Explorer les lacunes