VERA Consultation
Agrégation à confidentialité différentielle, non-persistante.
VERA publie le résultat collectif d'une consultation sensible sans jamais rendre
lisible la contribution d'un individu — ni pour l'organisateur, ni pour
l'hébergeur, ni pour un tiers.
VERA est un service hébergé, pas un logiciel à installer. C'est VERA qui
opère le serveur — une équipe réduite à une personne aujourd'hui, ce que
SECURITY.md et le modèle de menace disaient déjà et que ce document
n'écrivait pas ; l'organisation qui consulte garde sa liste de
membres et n'a rien à déployer. Cette séparation n'est pas une recommandation
adressée au client : c'est la condition de la garantie, et elle est remplie par
construction dans ce modèle.
- Confidentialité différentielle à ε = 0,5 (OpenDP)
- Signatures aveugles RSABSSA — RFC 9474, aveuglement et finalisation dans le
navigateur du votant
- Aucune persistance du lien identité → réponse
- Modèle de menace public : 26 portes — 15 fermées avec preuve reproductible,
6 fermées sous condition explicite, 5 limites assumées
⚠️ VERA n'est pas conçu pour un scrutin contraignant ou juridiquement
opposable. Il ne peut pas vérifier que les invitations sont parties aux
bonnes personnes, et à elles seules. Voir
Ce qui reste de votre responsabilité.
⚠️ Statut RGPD : non tranché. VERA ne revendique pas, à ce stade, que les
données produites constituent juridiquement des données anonymisées au
sens du règlement. Cette qualification — anonymisation ou pseudonymisation —
doit être déterminée par le DPO ou le conseil juridique de l'organisation, au
regard de son propre contexte. Elle décide si le traitement sort ou non du
champ du règlement, et donc de ce que vous devez inscrire à votre registre.
Voir Limites assumées, L4.
Sommaire
Est-ce que VERA répond à votre besoin ?
VERA convient si les conditions suivantes sont réunies. Les cinq premières sont
les conditions de la garantie — énumérées et justifiées dans
LIMITS.md §0 ; les deux dernières sont des contraintes d'usage.
| Condition | Seuil | Pourquoi |
|---|
| Effectif du groupe consulté | ≥ 240 réponses | En dessous, le bruit rend le résultat inexploitable. VERA refuse alors de publier — pas de version dégradée. |
| Hébergement | assuré par VERA, distinct de l'organisation qui consulte | C'est la condition de la garantie, et elle est remplie par défaut. |
| Attestation de l'effectif | par un tiers mandaté (CSE, représentants du personnel) | Sans elle, l'organisation peut fabriquer une partie des réponses sans que rien ne le montre. |
| Découpage en groupes | sans recoupement — chaque personne dans un seul groupe publié | Quelqu'un présent dans deux groupes subit ε = 1,0 en une seule consultation, alors que le barème le classe à 0,5. VERA ne peut pas le détecter : il ne connaît pas vos membres. |
| Transporteur des invitations | indépendant de l'hébergeur | Le transporteur voit le couple (personne, invitation) ; l'hébergeur détient la base. Réunis, ils désanonymisent. |
| Fenêtre de collecte | ≤ 7 jours | Les clés de signature sont détruites automatiquement à l'expiration ; un vote déjà signé peut encore être déposé pendant 24 h, pas au-delà. |
| Portée du résultat | consultatif | VERA ne garantit pas l'intégrité du corps électoral. |
240 réponses, pas 240 invitations. L'effectif minimal d'un groupe vaut
240 / taux de participation. Ce taux n'a jamais été mesuré sur VERA : c'est
l'inconnue principale du projet, et aucun chiffre présenté ici n'est un taux
« attendu » ou « réaliste ». La valeur prudente retenue par défaut est 40 %,
soit 600 personnes par groupe ; à 25 %, il en faut près de 1 000. Barème
complet : LIMITS.md §2.
Une organisation de 600 personnes ne peut donc espérer, dans cette hypothèse,
qu'un seul résultat d'ensemble : découper par service produirait des groupes
dont aucun n'atteindrait le seuil.
Public visé : grandes entreprises et groupes, fonction publique, hôpitaux,
universités, syndicats de branche, associations de grande taille.
Les structures plus petites ne peuvent pas obtenir un résultat à la fois anonyme
et suffisamment précis à ε = 0,5. C'est une contrainte mathématique, pas un choix
de conception.
Précision
Le bruit est absolu, pas proportionnel. L'erreur sur la valeur publiée vaut
environ 12 voix au 95ᵉ centile, quel que soit l'effectif — projection sur le
simplexe comprise, celle-ci étant du post-traitement, gratuite en ε. Mesure de
référence : 20 000 tirages à n = 240, erreur maximale sur les trois options
(16,1 voix avant projection, 12,0 après). Les pourcentages n'en sont que la
traduction :
| Effectif | Erreur max |
|---|
| 100 | 12 % |
| 150 | 8 % |
| 200 | 6 % |
| 240 | 5 % ← seuil de publication |
| 500 | 2,4 % |
| 1 000 | 1,2 % |
| 5 000 | 0,24 % |
Les valeurs hors de n = 240 découlent du caractère absolu du bruit ; elles ne
sont pas mesurées séparément. Méthode et chiffres : LIMITS.md §2,
qui fait foi — toute autre série de simulations citée ailleurs est obsolète.
This is the beginning of the README. Read the rest at the original. Read the full README ↗
