Como funciona a urna eletrônica e a totalização dos votos

Quase toda eleição brasileira termina com uma pergunta simples: como sei que o número que aparece na tela é o número de votos que foram dados? A resposta envolve um computador que não se conecta a rede nenhuma, um conjunto de assinaturas digitais que funciona como carimbo em cada arquivo, papel impresso que qualquer pessoa pode conferir na porta da seção e uma cadeia de transporte que só aceita dados vindos de uma urna autorizada. Nenhuma dessas peças resolve sozinha o problema. Juntas, elas formam um conjunto de camadas de segurança que se reforçam.

Esta aula parte do zero. Primeiro você vai ver o que a urna é (e o que ela não é), depois acompanhar o caminho do software desde o desenvolvimento até o dia da votação, em seguida o caminho do voto dentro da seção, e por fim o caminho dos dados até o site de resultados. Em cada etapa há uma explicação do problema que ela resolve, porque ela existe do jeito que existe e onde estão os limites. A fonte de cada afirmação aparece no próprio texto, e a lista completa fica no fim. O que não pôde ser verificado está numa seção própria, com a frase “não verificado nesta versão da aula”.

Um aviso antes de começar: esta aula descreve o sistema como o TSE o documenta. Algumas afirmações do TSE foram lidas nas fontes, mas não foram verificadas por terceiros independentes, e a aula diz isso quando for o caso. Nas fontes da própria Justiça Eleitoral, o termo usado para a urna é “equipamento”, e este texto segue o mesmo uso.

mapa da aula

O que a urna é e o que ela não é
Antes da eleição: software, assinatura digital e cadeia de confiança
As cerimônias públicas: código-fonte, lacração e verificação
No dia da votação: zerésima e os dois testes
O voto: o RDV, a criptografia e o sigilo
Encerramento: Boletim de Urna e mídia de resultado
Da seção ao site: transporte, recebimento e totalização
Como conferir o resultado
Limites e controvérsias
Mitos e perguntas frequentes
Exercícios
Glossário
Pontos não verificados
Fontes

1. o que a urna é e o que ela não é

A urna eletrônica é um computador feito para uma única tarefa: coletar votos e apurar o resultado da seção. Essa frase parece óbvia, mas ela carrega a primeira decisão de projeto, que é justamente a limitação. Um computador comum serve para navegar, editar planilhas e instalar aplicativos quando alguém pede. A urna recusa quase tudo isso. Ela não roda o que quiser, não aceita programas de terceiros e não é usada para outra coisa a não ser votar e apurar.

O TSE descreve o equipamento como um dispositivo que opera de forma isolada e que tem apenas dois cabos, um ligado à tomada e outro ao terminal do mesário. Segundo a mesma fonte, não existe mecanismo físico ou digital para colocar a urna em rede, seja por Wi-Fi, Bluetooth ou internet (TSE, “Como nasce uma urna: segurança do software diferencia equipamento de computador comum”, 15/05/2024). A reportagem “Urna eletrônica evolui no compasso da tecnologia” (05/04/2023) chama essa característica de uma das “cláusulas pétreas” do sistema, ou seja, algo que nunca muda de uma eleição para outra.

Essa escolha tem um efeito direto sobre a segurança. Se a urna não fala com ninguém pela rede, ninguém consegue alterar um resultado pela rede. O resultado precisa sair da urna por algum meio físico, e o TSE usa uma mídia removível para isso. A reportagem “Como nasce uma urna: confira o passo a passo no dia da eleição” (17/05/2024) explica que, como a urna não é ligada à internet, os dados saem por uma mídia removível chamada mídia de resultado. Daí em diante, o caminho dos dados depende de pessoas, procedimentos e assinaturas, e a seção 7 vai detalhar esse trecho.

Vale separar os papéis. A urna usa biometria para identificar o eleitor na seção, grava os votos e imprime os boletins. O resultado oficial, porém, sai da totalização feita pelo TSE, a partir dos boletins. Misturar essas funções é um dos erros mais comuns quando se fala no assunto, e a seção 10 volta a eles.

2. antes da eleição: software, assinatura digital e cadeia de confiança

Se a urna não recebe programas de fora, de onde vêm os programas que ela roda? Eles são desenvolvidos pelo próprio TSE, e a Resolução TSE 23.603 lista quais sistemas precisam ser fiscalizados, auditados e assinados. Entre eles estão o gerador de mídias, o sistema de totalização, o transportador, o receptor de arquivos e o sistema operacional da urna, chamado Uenux (Resolução TSE 23.603, art. 2º, publicada no DJe de 27/12/2019).

O Uenux merece uma explicação. A sigla quer dizer “Urna Eletrônica com Linux”, e o TSE o descreve como uma distribuição Linux desenvolvida pela equipe técnica do próprio tribunal para uso nas urnas. Segundo a reportagem “Como nasce uma urna: segurança do software”, desde 2008 todas as versões do equipamento funcionam com esse sistema. Antes disso, as urnas usavam sistemas diferentes conforme o modelo, como o VirtuOS nas urnas de 1996, 1998 e 2000, e o Windows CE nos modelos de 2002, 2004 e 2006. A reportagem conta que manter três sistemas era insustentável, porque qualquer alteração no programa tinha de ser feita pelo menos três vezes. A mesma fonte afirma que, na preparação do Uenux, não foi incluído nenhum software ou hardware que envolvesse redes de comunicação. Essa é uma afirmação do TSE, e a aula a registra como tal.

Agora entra a assinatura digital, que é o ponto central da seção. A Resolução 23.603 define assinatura digital como uma forma eletrônica de garantir a autenticidade de um documento ou sistema, feita com operações matemáticas de criptografia assimétrica. Nessa criptografia existem duas chaves: uma pública, que pode ser divulgada, e uma privada, que só o dono conhece. Quem tem a chave privada produz a assinatura. Quem tem a chave pública consegue verificar que a assinatura bate com o conteúdo, sem precisar conhecer o segredo. A reportagem do TSE usa uma comparação útil: a assinatura digital funciona como a rubrica num contrato, porque cada caligrafia é única e a rubrica prova que a pessoa esteve ali.

Assinar resolve metade do problema. A outra metade é fazer com que um arquivo alterado não passe por assinado. Aqui entra o resumo digital, chamado de hash. A mesma resolução define o resumo digital como uma sequência curta de caracteres calculada a partir de um conjunto de dados, de modo que qualquer alteração no arquivo original produz um resumo diferente. A reportagem de 2026 sobre a verificação dos sistemas resume o efeito com uma frase que vale a pena guardar: se alguma parte do arquivo, ainda que mínima, for alterada, o resumo digital não coincide mais. Com isso, o hash deixa à vista qualquer alteração feita depois da assinatura.

Por fim, há a cadeia de confiança, que liga tudo isso ao equipamento. A urna tem um microprocessador físico, chamado de hardware de segurança, posicionado junto à placa-mãe. Ele não faz parte dos programas que o eleitor usa. Seu trabalho é conferir a assinatura digital de cada componente de software conforme esse componente é carregado. Só depois de a assinatura ser conferida o programa roda. A reportagem “Como nasce uma urna: segurança do software” diz que esse hardware garante que o software auditado na cerimônia é o mesmo que roda em qualquer urna no dia da votação. A figura abaixo mostra essa sequência.

A figura lê de cima para baixo. A cerimônia de lacração gera as assinaturas de referência. O hardware de segurança é o primeiro a conferir, e ele confere cada componente antes de deixá-lo rodar. Se a assinatura de um componente não bate, o caminho vermelho mostra o que acontece: o programa não carrega. Essa barreira é o que transforma a urna de um computador comum em um equipamento de finalidade específica. O TSE afirma que o próprio sistema operacional faz parte das conferências, e que o mecanismo de verificação do Linux usado pela urna foi depois incorporado ao sistema original (TSE, “Como nasce uma urna: segurança do software”, 15/05/2024).

3. as cerimônias públicas: código-fonte, lacração e verificação

Assinar um programa só tem valor se as pessoas que vão conferir a assinatura tiverem visto o programa antes. Por isso o TSE organiza cerimônias e abre o código a fiscalizadores, em vez de pedir que alguém confie nele.

O código-fonte é o conjunto de instruções escritas numa linguagem de programação, e é a partir dele que o programa é gerado. A reportagem “Como nasce uma urna: segurança do software” informa que o código da urna é escrito em C++. A abertura do código para inspeção existe desde 2004, segundo a mesma reportagem. O ponto que mudou foi o prazo. A reportagem de 2024 diz que, antes de 2021, o código ficava aberto nos seis meses que antecediam a eleição, e que a partir de 2021 o prazo passou a ser de um ano antes do pleito. Já a Eleições 2024 (21/06/2024) diz que, para aquela eleição, a abertura ocorreu em outubro de 2023, mais de um ano antes do pleito. A abertura de outubro de 2023 é coerente com o prazo de um ano. A Resolução 23.603 (art. 8º), de 2019, fala em seis meses antes do primeiro turno. A reportagem cita a Resolução 23.673, de 2021, que trata dos procedimentos de fiscalização e auditoria, e é provável que ela tenha alterado o prazo, mas essa norma não foi lida nesta aula. Quem for citar o prazo precisa conferir a resolução vigente na eleição em questão.

Quem pode olhar o código é uma lista de entidades fiscalizadoras. A Eleições 2024 traz a lista: partidos políticos, federações e coligações, OAB, Ministério Público, Congresso Nacional, CGU, Polícia Federal, Sociedade Brasileira de Computação, Confea, CNJ, CNMP, TCU, entidades do Sistema Indústria e Sistema S, entidades privadas sem fins lucrativos credenciadas no TSE e departamentos de TI de universidades credenciadas. A análise do código, com agendamento prévio, dá também acesso ao conjunto de softwares da urna.

Existe também o Teste Público de Segurança da Urna (TPS), que a Eleições 2024 descreve como um evento permanente do calendário da Justiça Eleitoral. Nele, especialistas de fora do TSE tentam encontrar falhas. A edição mais recente citada na mesma fonte ocorreu de 27/11 a 02/12/2023, com 33 investigadores que executaram 35 planos. Meses depois, um Teste de Confirmação, realizado de 15 a 17/05/2024, verificou se as sugestões tinham sido adotadas. A primeira edição do TPS foi em 2009.

Depois do desenvolvimento vem a Cerimônia de Assinatura Digital e Lacração dos Sistemas. Segundo a Resolução 23.603 (art. 1º, inciso IV), é nela que os sistemas são apresentados às entidades fiscalizadoras, em programas-fonte e executáveis, e, depois de conferidos, assinados e lacrados. A lacração, por sua vez, é a gravação dos programas assinados em mídia não regravável, que depois é acondicionada em envelope assinado fisicamente. A reportagem de 2024 diz que a lacração é um procedimento matemático que impede qualquer alteração nos programas depois de assinados. O que acontece nessa cerimônia é, portanto, um congelamento: depois dela o software não muda para aquela eleição.

Os sistemas das Eleições 2026 foram assinados e lacrados em 04/09/2026, segundo a reportagem do TSE de 03/10/2026. Nesse dia assinaram representantes do TSE, da OAB/DF, do Ministério Público Federal e do Confea. A cerimônia ocorre cerca de um mês antes do pleito, como também informa a reportagem de 2024.

Por fim, há a verificação dos sistemas, feita na véspera do primeiro turno. Na reportagem de 03/10/2026, o TSE verificou quatro sistemas: o Transportador Web, o Receptor de Arquivos de Urna (RecArquivos), a Informação de Arquivos de Urna (InfoArquivos) e o Sistema de Gerenciamento da Totalização (Sistot). A conferência compara as assinaturas e os resumos digitais dos programas instalados no TSE com os que foram inspecionados e lacrados. Se o hash coincide, o programa que roda no TSE é o mesmo que foi visto por todos durante o ano. Depois dessa verificação, o Sistot emitiu a zerésima do banco de dados da totalização para presidente e vice-presidente. Em cada TRE ocorre procedimento semelhante para os cargos estaduais, e cada urna imprime a sua própria zerésima no domingo, antes da votação.

4. no dia da votação: zerésima e os dois testes

No dia da eleição a sequência começa cedo. Segundo a reportagem de 17/05/2024, o presidente da mesa receptora liga a urna a partir das 7h, na presença de mesários e fiscais, e a urna analisa os softwares instalados. Logo em seguida ela imprime a zerésima, um relatório em papel com a identificação da urna, a lista de candidatos e a informação de que todos têm zero voto. O nome vem daí. A reportagem de 11/03/2024 descreve o procedimento: a zerésima sai antes do início da votação e deve ser assinada pela presidente ou pelo presidente da seção, pelos mesários e pelos fiscais presentes. Um resumo da zerésima é impresso e afixado em local visível da seção, de modo que qualquer eleitor pode conferir.

A zerésima tem uma função que o nome sugere, mas que vale explicar. Ela prova que aquela urna começou a eleição sem nenhum voto gravado. Se alguém tivesse guardado votos dentro da máquina antes do dia, a zerésima impressa de manhã não mostraria zero. Isso só funciona porque a própria urna imprime o documento, e porque o documento é assinado pelos presentes, inclusive pelos fiscais de partidos.

Com a zerésima impressa, começa a parte de auditoria que acontece no mesmo dia. A Eleições 2024 lista dois testes com nomes parecidos, e a diferença entre eles é importante.

O Teste de Autenticidade é feito por amostragem. Segundo a reportagem de 17/05/2024, ele é público e acontece em tempo real, em algumas seções, bem cedo, antes do início da votação. As seções são sorteadas no dia anterior à eleição. O objetivo é verificar se o software da urna é o mesmo que foi inspecionado e lacrado. Para isso, a equipe rompe o lacre do compartimento da mídia de resultado, retira e reinsere a mídia, confere assinaturas e resumos digitais com o programa do TSE e lacra a tampa de novo. Partidos, OAB e Ministério Público são convocados. As seções são sorteadas em cada unidade da Federação, conforme a Eleições 2024 e o art. 51 da Resolução 23.603.

O Teste de Integridade é diferente. Ele não verifica o programa, e sim o comportamento da urna. Nele, algumas urnas são levadas a um ambiente controlado no mesmo dia e horário da votação oficial. Cédulas de papel já preenchidas com votos conhecidos são digitadas, uma por uma, nas urnas, entre 8h e 17h. Ao mesmo tempo, os mesmos votos são registrados num sistema de apoio em um computador. No fim do dia, os totais da urna são comparados com os totais do sistema de apoio. A votação é filmada, e nenhum eleitor real participa. O teste existe desde 2002, segundo a Eleições 2024 e o Glossário de TI do TSE. Antes do nome atual, ele era chamado de votação paralela. A apresentação de Júlio Valente de 2021 registra essa mudança de nome, e a Resolução 23.603 chama o procedimento de auditoria de funcionamento das urnas em condições normais de uso.

Há ainda uma variação com biometria. Nela, eleitores voluntários que já votaram na eleição oficial colocam a digital na urna de teste, e a urna confirma. A Eleições 2024 diz que essa variação é aplicada em todas as capitais, com no mínimo 5% e no máximo 10% das urnas destinadas ao Teste de Integridade. Em 2026, o TSE trouxe duas urnas do Distrito Federal para testar nas dependências do próprio tribunal, em parceria com o TRE-DF, segundo a reportagem de 03/10/2026.

Por que dois testes? Porque eles respondem perguntas diferentes. O Teste de Autenticidade pergunta se o programa é o oficial. O Teste de Integridade pergunta se, rodando o programa oficial, a urna soma corretamente os votos que recebe. Um não substitui o outro, e a seção 9 mostra o que cada um deixa de cobrir.

5. o voto: o RDV, a criptografia e o sigilo

Agora chegamos ao momento do voto, que é o trecho mais delicado do sistema. A exigência é dupla. O voto precisa ficar registrado com fidelidade, para que possa ser contado e conferido. Ao mesmo tempo, ninguém pode conseguir dizer quem votou em quem. As duas exigências parecem brigar entre si, e a solução do TSE para isso se chama Registro Digital do Voto, o RDV.

O fluxo começa com o mesário. Segundo a reportagem de 17/05/2024, o eleitor apresenta o documento, o mesário digita o número do título no terminal e, pelo nome que aparece na tela, identifica a pessoa e libera a votação. Pela Lei das Eleições (art. 91, citado pela reportagem), o eleitor não pode levar celular ou outro equipamento de registro de imagem para dentro da cabine, e por isso o aparelho fica com o mesário. Depois de votar, o eleitor devolve o documento e recebe o celular de volta.

Dentro da cabine, o voto é digitado e vai para a urna. Ali começa o registro. A reportagem diz que os votos são gravados da mesma forma como foram digitados e que o sistema impede associar o voto gravado a um eleitor. Todos eles são protegidos por criptografia e assinatura digital durante toda a votação. Vale lembrar o que é criptografia, porque a palavra aparece com frequência. Criptografia é o conjunto de técnicas que tornam uma informação ilegível para quem não tem a chave. O TSE distingue dois tipos de algoritmos: os padronizados, de domínio público, e os chamados “algoritmos de Estado”, de uso exclusivo de órgãos públicos para comunicações mais sensíveis. A reportagem de 2024 informa que o software de criptografia de Estado é fornecido pelo Cepesc, vinculado à Abin, e que as chaves secretas ficam sob sigilo do TSE.

O RDV é o arquivo onde os votos ficam. A Resolução 23.603 o define como um arquivo gerado pela urna em que os votos são gravados separados por cargo e ordenados aleatoriamente. A reportagem de 05/04/2023 diz que o RDV foi criado em 2003, com o voto de cada eleitor inserido de forma aleatória, criptografado e assinado pela urna, numa tabela cujo tamanho é igual ao da quantidade de eleitores da seção. O Glossário de TI, por sua vez, diz que a urna mantém os votos ordenados de acordo com o número digitado. A reportagem de 15/05/2024 traz o exemplo mais concreto: para o cargo de prefeito, a eleitora 1 escolheu o candidato 92, o eleitor 2 votou no 95 e o eleitor 3 votou no 90. No RDV, os três votos aparecem na sequência 90, 92 e 95, e assim não é possível associar uma pessoa ao voto depositado.

Como essas três descrições se encaixam? Uma leitura consistente é a seguinte. O voto não é gravado na ordem em que as pessoas chegaram, e sim numa posição que depende do número digitado. Assim, a sequência final do arquivo mostra quantos votos cada candidato recebeu, mas não mostra a ordem da fila da seção, e a fila é a única coisa que ligaria um voto a uma pessoa. Essa leitura explica o exemplo de 90, 92 e 95. Ainda assim, as fontes usam a palavra “aleatória” em sentidos diferentes, e o mecanismo matemático completo não foi lido nesta versão da aula. A seção 13 registra essa lacuna.

Um detalhe útil sobre o RDV é que ele não é só um arquivo de votos. Segundo a reportagem de 15/05/2024, o arquivo é atualizado e assinado digitalmente depois da confirmação de cada voto, com registro de horário em um arquivo de log. O RDV também é a base de dois relatórios: a zerésima, no começo, e o Boletim de Urna, no fim. Para o leitor, isso significa que o mesmo arquivo serve para as duas pontas do dia.

Quando o equipamento falha, o RDV e a duplicação dele mostram para que servem. A reportagem de 17/05/2024 explica que os votos ficam guardados em duas mídias, uma memória interna e outra externa. Essa redundância permite procedimentos de contingência, como trocar a urna de uma seção por outra de reserva, sem perder os votos já dados. O diagrama abaixo mostra a sequência do dia dentro da seção, incluindo esse caminho de falha.

A figura se lê de cima para baixo. As caixas de borda terracota são os procedimentos do sistema, as laranjas são pessoas e decisões, as verdes são documentos e mídias, e a rosa marca a falha. O caminho pontilhado de cima para a urna de reserva representa a falha, e a seta fechada com X mostra que o voto não passa para o equipamento defeituoso. O losango pergunta se a seção foi sorteada para o teste de autenticidade. A seta marcada com “sim” sai pela direita e leva ao teste, que devolve o fluxo à zerésima. A seta marcada com “não” desce reta do losango até a zerésima, sem passar pelo teste.

6. encerramento: Boletim de Urna e mídia de resultado

Às 17h a votação termina e começa a parte que mais interessa a quem quer conferir resultados. A urna imprime o Boletim de Urna, o famoso BU, que é o relatório com os votos daquela seção. Segundo a reportagem de 17/05/2024, os boletins são impressos em cinco vias obrigatórias e em até cinco vias adicionais. A distribuição das vias obrigatórias é a seguinte: uma fica com a fiscalização, outra com a presidente ou o presidente da seção, duas são anexadas à ata e encaminhadas ao cartório eleitoral (uma delas acompanha a mídia de resultado), e a quinta é afixada num local visível da seção para conhecimento público.

O que está no BU? A reportagem “Comprovantes atestam a transparência e a segurança da urna no dia da eleição” (11/03/2024) lista: município, zona eleitoral, local de votação, seção, total de votos por partido, total de votos por candidato, votos em branco, comparecimento, votos nulos, hora do encerramento, código interno da urna e uma sequência de caracteres para validação do boletim. Essa última parte é o que permite conferir se o boletim foi produzido por aquela urna, e a seção 8 mostra como.

Por que o BU é impresso e afixado, se a urna já tem o resultado em arquivo? Porque o papel afixado na porta da seção permite que qualquer pessoa conte e compare ali mesmo, antes de o resultado sair do local. O Glossário de TI do TSE diz que o documento permite que fiscais e a sociedade confiram, logo após o encerramento, o número de votos de todas as urnas. Essa é a primeira checagem pública, e ela acontece sem qualquer rede envolvida.

Depois da impressão vem a mídia de resultado. Ela é uma mídia removível que traz os dados de toda a votação: o BU em formato digital, a seção, a urna e o número de eleitores que compareceram (TSE, “Como nasce uma urna”, 17/05/2024). O Glossário de TI acrescenta que, depois do encerramento, o BU, o RDV e outros arquivos são gravados nessa mídia. A reportagem de 17/05/2024 diz que, após a impressão, a mídia é retirada e enviada a um dos polos de transmissão. Como a própria reportagem não descreve a ligação entre voto e eleitor dentro da mídia, esse ponto fica na seção 13.

7. da seção ao site: transporte, recebimento e totalização

Agora o dado precisa sair do local de votação e chegar ao TSE. A Resolução 23.603 (art. 2º) lista quatro sistemas que fazem esse trabalho, e vale conhecer cada um antes de ver o caminho.

O Transportador de Arquivos lê a mídia de resultado e transmite os arquivos para a base de dados da Justiça Eleitoral. O Glossário de TI diz que ele faz mais do que ler e enviar: também garante a integridade dos arquivos durante o envio. Se o Transportador não encontrar a assinatura digital gerada pela urna, ele não lê a mídia. O Receptor de Arquivos de Urna (RecArquivos) recebe os pacotes enviados pelo Transportador, valida autenticidade e integridade e grava os dados na base. A Informação de Arquivos de Urna (InfoArquivos) informa a situação dos arquivos enviados e recebidos. Por fim, o Sistema de Gerenciamento da Totalização (Sistot) acompanha os recebimentos e gerencia a soma dos resultados, a partir dos arquivos já processados pelo RecArquivos.

Para transmitir, há dois caminhos mencionados pelo TSE. O primeiro é o JE-Connect. Segundo o Glossário de TI, ele é um kit de sistemas em mídia que transmite os dados a partir de computadores já disponíveis no local de votação, por meio de uma VPN, que é uma rede virtual privada sobre a internet, ligada à rede privada da Justiça Eleitoral. Os dados saem da urna já criptografados, e o kit só envia dados para a rede e as portas da Justiça Eleitoral. A Resolução 23.603 (art. 1º, inciso V) descreve o JE-Connect como uma ferramenta que transmite o BU por um canal privado, sem comprometer a segurança. O segundo caminho é a transmissão via satélite, usada em locais de difícil acesso, como aldeias indígenas e certas comunidades ribeirinhas (TSE, “Como nasce uma urna: confira o passo a passo”, 17/05/2024). Essa reportagem não diz qual provedor de satélite é usado, e a aula não identifica nenhum.

O diagrama a seguir mostra o trajeto completo, incluindo o caso em que a mídia é descartada.

O caminho começa na mídia, no topo do fluxo, e a primeira bifurcação está no Transportador. Se a assinatura da urna não aparece, a mídia não é lida, e isso está marcado em rosa com um X. A rota principal passa pela rede privada, enquanto a rota tracejada representa o satélite para locais isolados. As duas chegam ao RecArquivos, que valida e grava. Depois, o Sistot pergunta duas coisas: a assinatura e os totais estão consistentes? Se sim, o resultado entra na totalização. Se não, o BU é descartado. Essa decisão aparece com clareza na reportagem de 17/05/2024: se houver divergência no número de votos e na quantidade de eleitores que compareceram, o BU é automaticamente descartado.

A totalização é a soma dos BUs válidos. A reportagem diz que ela também ocorre sem interferência humana. A assinatura vem primeiro: ela garante que o resultado foi emitido por uma urna cadastrada e verificada para aquela seção específica. Depois vêm as verificações de inconsistência. Só então os totais entram no resultado. Antes de entrar, a autenticidade dos votos é checada de novo no TSE, segundo a mesma reportagem.

A última etapa é a publicação. O TSE disponibiliza, no portal, os BUs enviados para a totalização e as tabelas de correspondência geradas no recebimento. A tabela de correspondência é o instrumento que associa cada seção à urna preparada para votar naquela seção (Resolução 23.603, art. 1º, inciso XIII). Com ela, quem confere sabe que aquele boletim publicado veio mesmo daquela urna. Os BUs publicados podem ser comparados com os boletins impressos nas seções. É esse cruzamento que a próxima seção descreve.

Antes disso, vale ver por onde esses dados chegam à internet. As fontes lidas não detalham como o Sistot alimenta a divulgação, então o que segue descreve só o que dá para observar nos endereços públicos do TSE. Quem acompanha a apuração lê arquivos já publicados, servidos por uma rede de distribuição de conteúdo (CDN, Content Delivery Network), e não faz consultas a um banco de dados. Isso mantém o banco da totalização fora do alcance direto da internet, coerente com o isolamento que protege o sistema.

Os resultados ao vivo ficam em resultados.tse.jus.br. O ponto de partida é o arquivo de configuração https://resultados.tse.jus.br/oficial/comum/config/ele-c.json. Ele lista os pleitos e as eleições de cada ciclo, com turno e cargos por abrangência, e traz modelos de caminho para montar o endereço de cada arquivo, como <base>/<ambiente>/<ciclo>/<cd_eleicao>/dados/<uf>. Na consulta que fiz em 27/10/2026, a eleição ordinária federal de 2026 (1º turno) aparecia com o código 6257.

Os arquivos pesados de conferência ficam no Portal de Dados Abertos (dadosabertos.tse.jus.br), que usa o CKAN, um software livre de catálogo de dados. O diagrama mostra os dois caminhos.

A figura se lê de cima para baixo. O Sistot totaliza em ambiente isolado e uma etapa de exportação gera os arquivos. Dali saem dois caminhos: à esquerda, os arquivos de resultado servidos pela CDN a quem acompanha a apuração; à direita, os arquivos brutos que o portal CKAN oferece para análise e conferência.

8. como conferir o resultado

Conferir é a parte da eleição que qualquer pessoa pode fazer, e a Justiça Eleitoral desenhou o sistema para que a conferência não dependa de ninguém em particular. Há quatro formas principais de checar, e elas se complementam.

A primeira é comparar o BU impresso com o BU publicado. O boletim afixado na seção traz o número de votos. Depois da totalização, o mesmo boletim aparece no portal do TSE. Se os números batem, o resultado daquela seção chegou sem alteração. A Eleições 2024 descreve a mesma ideia ao dizer que os dados dos BUs servem para conferir os resultados, já que o TSE disponibiliza um site para acompanhar a totalização. A ideia é que qualquer eleitor pode fiscalizar a sua seção.

A segunda forma é ler o QR Code. Desde as Eleições 2016 o BU traz um QR Code com o conteúdo do boletim. O manual do QR Code, publicado pelo TSE, explica que o código é limitado a 1.100 caracteres pela capacidade da impressora térmica da urna, que usa modo alfanumérico. Por isso os nomes dos candidatos não aparecem no código, e até quatro QR Codes podem ser necessários para um boletim com muitas candidaturas. O conteúdo é organizado em pares de chave e valor. Um trecho real do manual mostra a forma do registro:

QRBU:1:1 VRQR:1.5 VRCH:20240507 ORIG:VOTA ORLC:LEG PROC:1000 DTPL:20241006 ...

Cada QR Code traz três partes: cabeçalho, conteúdo do boletim e segurança. A parte de segurança é a que importa aqui. Ela contém um hash SHA-512 calculado de forma cumulativa, ou seja, o hash de cada QR inclui os dados dos anteriores. No último QR, um campo ASSI traz a assinatura digital Ed25519, calculada sobre o último hash. Essa assinatura também aparece impressa no papel. O manual informa que a chave pública usada na verificação tem 256 bits e a assinatura 512 bits, e que existe um par de chaves por Unidade da Federação, publicado depois da Cerimônia de Lacração. O aplicativo oficial, chamado Boletim na Mão, faz a leitura e a verificação. O manual também oferece instruções para quem quiser fazer um aplicativo próprio.

O diagrama abaixo mostra essa cadeia de hashes e o papel da chave pública.

A leitura é de cima para baixo. Cada QR Code carrega um hash que depende do conteúdo anterior, então um dado alterado em qualquer ponto muda todos os hashes seguintes. O último hash é assinado. O aplicativo recalcula a cadeia com os dados que leu, confere a assinatura com a chave pública da UF e acusa erro se algum hash não fechar. A figura mostra a falha em rosa, para o caso em que a conferência não bate. Note que o aplicativo não precisa confiar no papel: ele precisa apenas que a chave pública seja a correta, e a chave é publicada pela Justiça Eleitoral.

A terceira forma é recontar pelo RDV. A reportagem sobre o RDV diz que ele permite a recontagem dos votos a qualquer tempo, e o Glossário de TI acrescenta que partidos e coligações podem fazer essa recontagem, e que o arquivo permite também a apuração independente dos procedimentos oficiais. Essa é a forma mais trabalhosa, e por isso é a menos usada pelo público. Ela é a que permite conferir a totalização sem depender de declarações de ninguém.

A quarta forma é conferir em escala pela API do Portal de Dados Abertos. As três primeiras servem bem para checar a própria seção ou uma amostra de boletins. Conferir o país inteiro por esse caminho não é prático, e é para isso que o TSE publica os arquivos brutos da eleição no Portal de Dados Abertos (dadosabertos.tse.jus.br), construído sobre o CKAN. O CKAN oferece uma API padronizada, a Action API, com base em https://dadosabertos.tse.jus.br/api/3/action/. Com ela, um script em Python, Go ou R consulta o catálogo sem depender de raspagem de páginas HTML.

package_search, por exemplo package_search?q=boletim+de+urna, pesquisa os conjuntos do catálogo.
package_show, por exemplo package_show?id=resultados-2024-boletim-de-urna, devolve um JSON com a lista resources, onde estão os links dos arquivos ZIP (com CSV) dos BUs divididos por estado.

Além dos BUs, o portal tem o conjunto resultados-2024-arquivos-transmitidos-para-totalizacao, descrito como “bu imgbu log rdv vota”, os logs do sistema de preparação das urnas e a tabela de correspondência entre número interno e modelo da urna. Com esses arquivos, qualquer pessoa pode refazer a soma por conta própria e compará-la com o resultado oficial.

9. limites e controvérsias

Nenhum sistema de auditoria é completo, e a urna não é exceção. Esta seção trata os limites como tema com fonte. A maior parte deles aparece nas próprias fontes do TSE, e a aula os registra com a mesma honestidade com que registra as garantias.

O primeiro limite é o do próprio teste. O Teste de Integridade verifica uma amostra de urnas, em um ambiente controlado, com votos simulados. Ele não testa todas as urnas do país no dia da eleição. A reportagem de 03/10/2026 traz uma explicação que o próprio TSE apresenta como garantia: segundo Júlio Valente, a urna não sabe se está sendo usada num teste ou com eleitores de verdade. Esta aula não encontrou verificação independente dessa afirmação. Ela é uma declaração do TSE, e a aula a trata como tal.

O segundo limite é o da amostra. O Teste de Autenticidade e o Teste de Integridade são feitos por sorteio, em cada unidade da Federação. Se uma urna com software diferente estivesse numa seção que não foi sorteada, esses testes não a pegariam no dia. O que cobre esse caso, segundo o TSE, é a assinatura digital e o hardware de segurança: qualquer urna confere a mesma assinatura antes de rodar, então um software alterado não carregaria. Essa é a razão pela qual a cadeia de confiança da seção 2 importa tanto. Mas, de novo, a eficácia dessa cadeia depende de a assinatura de referência ter sido gerada e guardada corretamente na cerimônia, e as fontes lidas afirmam isso sem detalhar a implementação.

O terceiro limite é o do sigilo. O RDV foi desenhado para que o voto não seja associado a uma pessoa, mas a explicação matemática completa desse mecanismo não foi lida nesta versão da aula. A seção 5 descreve o que as fontes contam, e a própria divergência de termos entre elas (aleatório, ordenado por número) mostra que o assunto merece leitura direta da especificação técnica antes de qualquer conclusão forte.

O quarto limite é o de transmissão. A cadeia de transporte depende de pessoas, procedimentos e de um canal privado. O JE-Connect usa VPN, e o satélite é usado em locais isolados. O TSE afirma que os dados são criptografados e que só são aceitos assinaturas válidas. Mas um canal de comunicação, por mais protegido que seja, precisa existir, e o TSE documenta esse caminho com detalhes em suas fontes. Nessa parte, a garantia do sistema é a assinatura, não o canal.

Há controvérsias que a aula não consegue tratar com fonte nesta versão. A busca nesta versão da aula se limitou aos documentos oficiais do TSE e a algumas reportagens. Críticas de partidos, de acadêmicos ou de organizações da sociedade civil não foram pesquisadas nem citadas. Quem quiser aprofundar o tema deve procurar esses textos e separar o que é técnico do que é opinião. A própria Eleições 2024 mostra que a fiscalização tem espaço institucional para isso: a lista de entidades que podem analisar o código é longa e inclui partidos e a sociedade civil organizada.

10. mitos e perguntas frequentes

Toda eleição traz boatos sobre a urna. A apresentação de Júlio Valente de 14/09/2021 organiza alguns deles no formato “fato ou boato”, e a resposta de cada um aparece no próprio material do TSE. Vale conhecer as respostas, porque elas mostram como as peças descritas nas seções anteriores se encaixam.

“A urna eletrônica foi fabricada pela Smartmatic.” A apresentação responde que a urna foi desenvolvida pelo TSE, com estreia em 1996, por um grupo de especialistas em informática, eletrônica e comunicações, com participação de instituições como o ITA e o INPE. A própria seção 1 mostra a parte que o TSE diz desenvolver.

“Um hacker usa a internet para invadir a NASA e o Pentágono, por que não a urna?” A resposta do TSE é que a urna opera isolada, sem nenhum canal de rede. A modificação dos dados, segundo a apresentação, se daria na transmissão dos resultados, e é justamente o trecho coberto pela assinatura e pela cadeia de transporte da seção 7.

“A urna não permite recontagem.” A apresentação responde com o RDV, que existe justamente para permitir a auditoria da votação com recontagem dos votos.

“A urna não deixa rastro.” A resposta é o log da urna eletrônica, que é o registro cronológico de todas as operações e eventos verificados no equipamento, e que segundo a apresentação é publicado na internet nas próximas eleições.

“Outra pessoa pode votar no meu lugar.” A apresentação responde com a identificação biométrica do eleitor, por meio do reconhecimento da digital pela urna. A reportagem de 2024 acrescenta que as impressões digitais são cifradas até chegar à urna, que as decifra para confirmar a identidade. Como a biometria não foi estudada em profundidade nesta aula, a resposta fica no nível do que o TSE declara.

Algumas perguntas que surgem com frequência merecem resposta curta. A zerésima e o BU são a mesma coisa? Não. A zerésima comprova que a urna começou sem votos, e o BU comprova os votos que ela registrou no fim. Um é impresso antes, e o outro depois. O Teste de Integridade mexe no resultado oficial? Não, ele usa urnas separadas, em ambiente controlado, sem eleitores reais, e serve para comparar o comportamento da urna com um gabarito conhecido. A urna pode ser ligada à internet para atualizar software? Segundo o TSE, não: a urna não tem mecanismo de conexão a redes, e o software é fixado por assinatura e lacração antes do dia da votação.

11. exercícios

Explique com suas palavras por que a urna não pode ser “hackeada pela internet” e, em seguida, identifique em qual etapa da seção 7 uma alteração de resultado ainda seria possível e qual mecanismo a bloqueia. Use a figura 02 como apoio.
Pegue um boletim de urna qualquer publicado no portal do TSE e um boletim impresso de uma seção próxima, se tiver acesso. Compare os totais por candidato e o comparecimento. O que você faria se houvesse diferença? Consulte a seção 8 e a Resolução 23.603, art. 69, que trata de divergência entre boletim e resultado esperado.
Um aluno afirma que o RDV guarda os votos na mesma ordem em que os eleitores chegaram. Com base na seção 5, escreva um parágrafo mostrando por que isso contradiz a explicação do TSE sobre o exemplo 90, 92 e 95, e diga qual informação falta para decidir a questão com segurança.
Explique a diferença entre o Teste de Autenticidade e o Teste de Integridade usando uma frase para cada um. Depois responda: se um software adulterado tivesse sido instalado depois da lacração, qual dos dois testes teria mais chance de encontrá-lo, e por quê? Responda com base nas fontes, e diga o que as fontes não cobrem.
Desenhe, em papel, o caminho de um BU desde a seção até a publicação, marcando onde existe assinatura, onde existe hash e onde existe intervenção humana. Confira o resultado com a figura 02.
Por que publicar a apuração em arquivos JSON estáticos distribuídos por CDN, em vez de uma API dinâmica ligada ao banco do Sistot? Pense no efeito disso sobre ataques de negação de serviço (DDoS).
Com curl ou um script simples, faça um GET em https://dadosabertos.tse.jus.br/api/3/action/package_search?q=boletim+de+urna. No JSON retornado, localize a lista result.results, em que cada item é um conjunto de dados, e anote o nome de dois deles.

12. glossário

Assinatura digital: operação de criptografia assimétrica que atesta a origem de um documento ou sistema. Existe uma chave privada para assinar e uma chave pública para verificar. Definição da Resolução 23.603, art. 1º.

Boletim de Urna (BU): relatório emitido pela urna ao final da votação, com os resultados daquela seção. Pode ser digital ou impresso.

Cadeia de confiança: sequência de verificações em que cada componente confere a assinatura do próximo antes de ser executado. Na urna, começa no hardware de segurança.

CKAN: software livre de catálogo de dados abertos, usado no Portal de Dados Abertos do TSE. Sua Action API (/api/3/action/) permite buscar conjuntos de dados e listar seus arquivos.

Criptografia de Estado: algoritmo de uso exclusivo de órgãos públicos, mencionado pelo TSE para comunicações sensíveis. Não é detalhado nas fontes lidas.

Divulgação de resultados: arquivos de resultado publicados em resultados.tse.jus.br e servidos por CDN. O arquivo ele-c.json indica onde achar cada um.

Hash (resumo digital): sequência de caracteres calculada a partir de um arquivo, que muda com qualquer alteração no arquivo. Definição da Resolução 23.603, art. 1º.

JE-Connect: kit de sistemas em mídia que transmite dados da urna por VPN a partir de computadores do local de votação.

Lacração: gravação dos programas assinados em mídia não regravável, acondicionada em envelope assinado depois da Cerimônia de Assinatura Digital e Lacração.

Mídia de resultado: mídia removível que sai da urna com os dados da votação: BU digital, seção, urna e comparecimento.

Portal de Dados Abertos: repositório do TSE (dadosabertos.tse.jus.br) com arquivos brutos de BUs, RDVs, logs e outros dados de cada eleição, para baixar em lote.

RDV (Registro Digital do Voto): arquivo em que a urna grava os votos separados por cargo, de forma que não seja possível ligar o voto à pessoa.

Sistot: Sistema de Gerenciamento da Totalização, que acompanha os recebimentos e gerencia a soma dos resultados.

Tabela de correspondência: associação entre uma seção e a urna preparada para votar nela. Definição da Resolução 23.603, art. 1º.

Teste de Autenticidade: verificação por amostragem, no dia da votação, de que os programas da urna são os oficiais, comparando assinaturas e resumos digitais.

Teste de Integridade: simulação monitorada, no dia da votação, em que cédulas conhecidas são digitadas numa urna e os totais são comparados com um sistema de apoio.

Zerésima: relatório impresso antes da votação que comprova que a urna não tem nenhum voto registrado.

13. pontos não verificados

As seções abaixo registram o que não pôde ser confirmado nesta versão da aula. Nenhum desses pontos foi preenchido com estimativa.

Centralização da totalização: a apresentação de José de Melo Cruz (2021) lista o marco na linha do tempo, sob o ano de 2020, sem detalhar a mudança. A aula cita só esse registro e não descreve como a totalização era feita antes.

Mecanismo técnico completo do RDV, incluindo como o voto deixa de ser ligado à pessoa: não verificado nesta versão da aula. As fontes descrevem a tabela, a ordenação e a criptografia, mas usam termos divergentes, como “aleatória” e “ordenada por número”.

Algoritmo de Estado usado na assinatura da totalização: não verificado nesta versão da aula. O manual do QR Code afirma que ele existe e é regulado por norma específica, sem detalhá-lo.

14. fontes

Consultadas em 25/10/2026, salvo indicação em contrário. Os PDFs citados estão na mesma pasta desta aula.

TSE. “Como nasce uma urna: confira o passo a passo no dia da eleição”, publicada em 17/05/2024. https://www.tse.jus.br/comunicacao/noticias/2024/Maio/como-nasce-uma-urna-confira-o-passo-a-passo-no-dia-da-eleicao (PDF: “Como nasce uma urna_ confira o passo a passo no dia da eleição — Tribunal Superior Eleitoral.pdf”).

TSE. “Como nasce uma urna: segurança do software diferencia equipamento de computador comum”, publicada em 15/05/2024. https://www.tse.jus.br/comunicacao/noticias/2024/Maio/como-nasce-uma-urna-seguranca-do-software-diferencia-equipamento-de-computador-comum (PDF: “Como nasce uma urna_ segurança do software diferencia equipamento de computador comum — Tribunal Superior Eleitoral.pdf”).

TSE. “Comprovantes atestam a transparência e a segurança da urna no dia da eleição”, publicada em 11/03/2024. URL não registrada no PDF-fonte (PDF: “Comprovantes atestam a transparência e a segurança da urna no dia da eleição — Tribunal Superior Eleitoral.pdf”).

TSE. “Eleições 2024: conheça as etapas de auditoria da urna eletrônica”, publicada em 21/06/2024. https://www.tse.jus.br/comunicacao/noticias/2024/Junho/eleicoes-2024-saiba-quais-as-etapas-de-auditoria-dos-sistemas-eleitorais-1 (PDF: “Eleições 2024_ conheça as etapas de auditoria da urna eletrônica — Tribunal Superior Eleitoral.pdf”).

TSE. “TSE verifica integridade dos sistemas eleitorais na véspera do 1º turno”, publicada em 03/10/2026. https://www.tse.jus.br/comunicacao/noticias/2026/Outubro/tse-verifica-integridade-dos-sistemas-eleitorais-na-vespera-do-1o-turno (PDF: “TSE verifica integridade dos sistemas eleitorais na véspera do 1º turno — Tribunal Superior Eleitoral.pdf”).

TSE. “Urna eletrônica evolui no compasso da tecnologia”, publicada em 05/04/2023. https://www.tse.jus.br/comunicacao/noticias/2023/Abril/urna-eletronica-evolui-no-compasso-da-tecnologia (PDF: “Urna eletrônica evolui no compasso da tecnologia — Tribunal Superior Eleitoral.pdf”).

TSE. “Glossário de TI”. https://www.tse.jus.br/comunicacao/glossario-de-ti (PDF: “Glossário de TI — Tribunal Superior Eleitoral.pdf”). Consultado em versão impressa em 25/10/2026.

TSE. Resolução nº 23.603, de 2019, publicada no DJe de 27/12/2019 (PDF: “tse-resolucao-n-23603.pdf”). A resolução vigente em 2026 não foi localizada.

TSE. “QR Code no Boletim de Urna: manual para a criação de aplicativos de leitura”. https://www.tse.jus.br/eleicoes/eleicoes-2024-content/arquivos/qr-code-no-boletim-de-urna/@@display-file/file/QRcode_no_boletim_de_urna.pdf (PDF: “QRcode_no_boletim_de_urna.pdf”).

Júlio Valente, apresentação “Sistema eleitoral informatizado”, 14/09/2021 (PDF: “apresentacao-checadores-julio-valente-14-09-2021.pdf”).

José de Melo Cruz, apresentação “Visão geral do processo eleitoral”, 2021. https://www.justicaeleitoral.jus.br/tps/arquivos/2021/apresentacao-1-tps-2021-csele-visao-geral-do-processo-eleitoral.pdf (PDF: “apresentacao-1-tps-2021-csele-visao-geral-do-processo-eleitoral.pdf”).

TSE. “Portal de Dados Abertos do Tribunal Superior Eleitoral” e documentação da Action API do CKAN. https://dadosabertos.tse.jus.br/ e https://dadosabertos.tse.jus.br/api/3/action/ (acesso em 27/10/2026).

TSE. “Divulgação de resultados: arquivo de configuração ele-c.json”. https://resultados.tse.jus.br/oficial/comum/config/ele-c.json (acesso em 27/10/2026).

Neste texto