摘要
- 选票保密意味着选举记录不得泄露可识别成员的候选人选择。这并不要求对选民资格、企业代理权、代理集中度、系统控制、事件、总参与人数或认证依据保密。
- RIR 选举处理的是组织性而非普选制选票，但仍需具备选举安全研究所确认的常见特性：选择保密、访问控制、数据保护、可审计性、弹性记录、监控和独立验证。
- APNIC 记录成员身份和投票权利以供审计，同时宣布选票保密；RIPE NCC 采用第三方投票平台和独立的访问代码；LACNIC 提供选民审计和投诉阶段；AFRINIC 2025 年的争议显示了不完整公开对账的代价。
- 两层设计将已识别的权限账本与匿名选票领域分离。一次性资格令牌允许一次有效投票，而不允许常规工作人员、候选人或公众将成员与其选择相关联。
- 公开证据应包括规则、合格总数、配置和测试证明、角色分配、利益冲突披露、事件摘要、对账、汇总结果和独立认证。受限证据应在受控访问下提供给授权审计员和审核员。
保密保护的是选择，而非行政
秘密选票的存在是为了让选民可以做出选择，而无需向雇主、候选人、债权人、政府或组织者证明该选择。它降低了威胁和买票的可执行性。它还保护了选举后的政治自主权，因为失败一方可能控制机构资源。
选举管理员有时会将这一原则远远扩展到选择之外。他们拒绝披露谁有资格、权限如何检查、一个人持有了多少代理任命、谁配置了服务，或为什么某个凭证被拒绝。结果并非更强的选票保密，而是一场不信任运行者就无法评估的选举。
界限可以简单表述。将可识别选民与候选人选择联系起来的信息受到高度保护。而证明只有合格权利进入计票、每个接受的权利都按意图计数、且无人能篡改结果所需的信息，应予以记录并在适当级别披露。
一些记录位于边界附近。参与历史揭示了一个组织投了票，但未揭示投给了谁。在非常小的选民群体中，公布详细的时间或选票样式可能支持推断。代理委托人的名单与持有人的公开竞选相结合，可能暴露可能的选择。因此，良好的披露使用汇总、延迟和访问控制，而非一概拒绝。
对于区域互联网注册机构而言，这一区别很重要，因为成员是组织。企业可能有合法理由保持其参与私密；另一家则可能要求确认其任命代表已履职。注册机构必须保护秘密选择，同时保留可审计的企业代理权痕迹。
公共基础设施不是公开选票。它是一个其规则、控制和聚合运行可以被检查的系统，受限证据可供独立审查者获取。保密属于选民的政治决定，决不应成为管理者的普遍特权。
身份与选择必须刻意分离
每场成员选举都始于身份。注册机构需要知道一个组织是合格的、在要求的情况下信誉良好，并由授权人士代表。电子投票可能需要账户、多因素认证或身份检查。纸质选举则可能需要登记册和在现场的凭证。
选票应仅在身份决定结束后才开始。已识别的系统颁发一次性权限或令牌。投票服务接受它，记录选择而不附带成员身份，并防止重复使用。对账证明已颁发、已使用、已撤销和未使用的权限平衡。常规工作人员不应持有将令牌与选择连接起来的表格。
这种分离是架构上的决定，而非隐私声明中的承诺。日志可能悄然破坏它。精确的时间戳、网络地址、唯一选票序列和浏览器细节可能使两个数据库相关联。管理员应只收集安全所需，尽可能粗化或分离时间，并测试特权用户是否可能重构选票。
APNIC 的在线投票条款展示了必要的张力。该服务记录成员、提交者和投票数量以供审计，同时声明每张选票都是保密的。一次稳健的评估会问那个已识别的审计记录在哪里结束，以及候选人选择是否保留在其外。
RIPE NCC 的投票指南描述了一项第三方服务、唯一链接和两个代码。发布的用户旅程帮助成员理解访问。独立保证还应解释身份、代码和已投选票记录的分离，而不暴露安全秘密。
任何电子系统都不能仅依赖“匿名投票”这一短语。相关问题在于存在哪些记录、谁可以访问它们、它们如何关联、它们保留多长时间以及审计员测试了什么。刻意的分离使机构能够严格要求资格，并同样严格地要求保密。
可审计性与保密性是兼容的特性
美国国家标准与技术研究院（NIST）关于理想投票系统特性的讨论将可审计性、选票保密、抗胁迫性、可用性和可访问性视为相关的设计目标。其安全目标同样将基于证据的选举与不泄露可识别选民意图的记录配对。
这种配对很重要，因为公共辩论经常提出一个错误选择：要么发布详细证据并暴露选民，要么保护选民并接受黑箱。现代审计设计正是为了避免这种选择而存在。它通过独立于个人与选择之间秘密关联的记录来验证过程和结果。
对于 RIR，可审计性意味着不仅仅重新计算候选人总数。审计员应能确认合格的成员群体、授权代表、每个适用权利对应一个权限、正确的投票权重、成功防止重复、准确的配置、完整的事件处理和数学上一致的计票。这些都不需要公布成员的候选人选择。
保密还必须在审计中幸存。审计员应仅接收每项测试所需的最低限度已识别数据。在需要完整权限账本的地方，候选人选择应保留在另一个受控领域内。报告应汇总小群体。审计工作底稿需要有保留和删除规则。
证据可以是密码学的、文档的、程序性的或物理的。不应假设技术证明解决了企业代理权问题，或签署的会议纪要证明了软件行为正确。独立验证从具有不同故障模式的多个记录中汲取。
机构应说明其信任模型。哪些行为者可能更改资格？谁可以更改选票配置？谁持有解密或计票权限？任何一个人能执行关键操作吗？例如，NIST 较早的传输要求包括对通过公共网络进行的关健投票处理进行二人授权。具体的控制可能有所不同，但特权的集中必须可见。
可审计性不会削弱保密性。正确设计后，它提供证据表明保密得以维护，而结果保持正确。
权限账本应可检查
在任何秘密选票存在之前，有一个权限账本。它包含合格成员、投票权重、指定联系人、代理人、状态变更和颁发的权限。此处的错误可能排除合法选民或接纳未经授权者。因此，该账本是选举的一部分，而非临时重新利用的普通成员管理。
公开访问无需暴露个人电话号码、身份证件或账户详情。机构可以发布规则、合格组织总数、排除类别、适当组织级别的临时登记册以及纠正机制。每个成员应私下查看自己的状态和代表。
LACNIC 的2026 年特别选举日历发布了选民登记册，并早在投票前就允许投诉。这一顺序分散了错误检测。成员可以在纠正仍可能时识别遗漏。选举委员会在选票开启前就对回应承担起责任。
AFRINIC 替代性的 2025 年选举也使用了临时和最终选民登记阶段。这是对 6 月选举争议后的重要改进。然而，仅发布本身是不够的，如果标准、变更日志或排除原因仍不明朗。最终登记册应伴随显示相对于临时版本的新增、移除和更正的总数。
审计员需要完整的受限账本，包括权限证据、时间戳和工作人员行为。抽样应测试注册的公司官员是否有权指定、撤销是否被应用、一个自然人是否控制多个组织，以及后期的变更是否遵循了共同规则。
候选人不应仅因参加选举而获取私密的成员联系数据。他们可以收到汇总的选民信息和任何根据治理规则授权的公开组织登记册。竞选访问和审计访问是不同的目的。
一个可检查的权限账本让成员相信秘密选票始于一个合法的选民群体。没有它，一个完美的投票服务可能忠实地计算了错误的选民。
配置是公共利益记录
电子选票包含重要设置：候选人姓名和顺序、席位、最大选择数、投票权重、弃权选项、开启和关闭时间、平局规则以及对部分选票的处理。一个配置错误可能改变每一张选票，而软件在技术上仍是安全的。
批准的选票规范应在开启前由至少两名授权官员签署，最好是独立的选举官员。候选人可以在不看到安全凭证的情况下确认拼写、资格和席位分配。样本选票应尽早发布以纠正错误。
选前测试应包括常规和边缘案例：一次选择、最大选择、试图超额投票、弃权、加权权利、已撤销令牌、重复使用、时区边界和中断。报告可以说明测试和结果而不披露可被利用的细节。哈希或签署的证明可以识别确切的批准配置。
测试后的变更需要新版本、理由、批准和重新测试。无声纠正不可接受，因为它破坏了保证与实时选票之间的联系。如果投票已开始，独立官员必须确定变更是否影响已投选票，以及是否必要重新开启或重新运行。
候选人顺序应有明确的政策。按字母、随机或轮换顺序，如果宣布并一致应用，可以是可辩护的。管理员不应在看到候选人名单后非正式地选择位置。这同样适用于传记、照片和链接。
关闭时间也属于配置。公开通知、门户倒计时和提供者时钟必须一致。任何延期必须更改三者并保留记录。支持人员不应有在关闭后接受选定选票的隐藏能力。
发布配置证据不会告诉任何人成员如何投票。它显示了系统实际提出了什么问题。在负责任的选举中，公开结果必须可追溯到一个公开授权的选票定义。
角色分离比承诺更有价值
一场选举涉及成员服务人员、选举委员会、候选人、董事会或接管人、法律顾问、技术提供商、计票员和审计员。当没有任何一个行为者控制资格、选票设置、计票和投诉解决时，信任得到改善。
角色分离应在竞选前公布。成员服务可以维护联系人记录，但不应决定候选人争议。选举委员会可以监督资格和程序，但不应更改秘密计票。提供商可以运行服务，但不应认证自己的合规性。审查者不应向行为受质疑的候选人、官员或实体报告。
利益冲突需要个别披露。委员会成员可能为成员组织工作、认识候选人，或曾参与争议。冲突并不总是需要排除；回避可能就足够了。记录应陈述关系、决定和替代者。
候选人和现任董事不应持有管理特权。参与竞选的工作人员应被移除选举职责，规则应界定是否允许以官方身份进行竞选活动。拥有生产访问权限的提供商人员应向审计员标识，并受变更日志约束。
二人控制对于关键行为很有用：在自动计划外开启或关闭选票、更改配置、导出计票、解密结果和处理物理选票容器。它限制了错误以及不当行为。证据是由两个角色签署或以密码学方式记录的行动。
承诺每个人都会专业行事的公开保证不能取代这种设计。好人会犯错，机构日后会面临争议。分离通过使无根据的指控更不可信来保护官员。它还允许调查确定哪个领域可能出了问题。
公众不需要知晓个人安全细节，但应知晓职位、职责、冲突、批准和独立检查。当围绕选票的权限被明显分割时，秘密选票才最强。
事件应公开而不成为指控
每场选举都有异常：退回消息、认证失败、被质疑的授权文件、停机、声称未收到的选民或质疑规则的候选人。隐瞒它们会招致流言；发布未经核实的指控可能损害人员和选举。
事件登记册提供了一条中间路径。每个条目记录时间、类别、影响阶段、保全行动、决策者、状态和补救措施。公开版本汇总或编辑身份。严重事件在事实确定后收到更完整的报告。
实质性应指导回应。在投票前纠正的一封失败邮件可能不需要对结果产生任何影响。一个为某成员接纳的凭证需要一个有效性决定，并且如果已使用，则需要一个保护隐私的方式来评估影响。影响许多选民的服务中断可能有必要延期。触及每张选票的配置缺陷可能无论优势如何都需要重新运行。
AFRINIC 2025 年 6 月的选举因关于授权文件的争议而暂停，后来被宣告无效。官方通讯特别提到了授权书和调查，但最初并未发布被质疑凭证的完整数量、相关选票以及席位一级的重大性。对账的缺失允许了相互竞争的叙事来填补空白。
公开的事件报告应区分指控、核实事实、发现和补救措施。警方对可能伪造的调查不同于选举官员对已公布表格的解释。法院的权力不同于计票员的权力。将它们合并在“违规”一词下模糊了责任。
保全先于言辞。保护文书、权限记录、访问日志、选票状态、证人笔记和相关通信。除非合法例外程序要求并有安全措施，否则不要关联秘密选择。通知受影响的成员和审查者。
一场选举赢得信任，不是通过声称零事件，而是通过显示事件能够根据已知规则被检测、围堵和解决。
对账证明完整性而不透露选择
在关闭时，总数应将权限账本与计票连接起来。从合格成员和投票权重开始。显示注册代表、已验证代理、颁发的权利、已撤销的权利、已使用的权利、未使用的权利、拒绝的尝试和接受的选票。然后显示根据规则的有效、空白或弃权，以及无效选票。
方程应平衡。如果有 1,000 个活跃权利和 600 张选票被接受，400 个应被证明未使用或以其他方式说明。加权系统需要成员和投票单位的总数。多席位选举应解释为什么候选人总标记与选票不同。
APNIC 根据其在线条款发布了一个带有提交选票收据号码的选票验证页面。LACNIC 在临时结果后为选民提供审计间隔。这些机制允许参与者确认包含而不披露选择。收据设计必须抵抗胁迫：它可以证明参与或包含，而非候选人选择。
对账应在认证前完成并由独立方审查。差异可能是无害的，例如在发行导出中仍计数的已撤销权利。但它们仍必须解决。大于决定性差额的未解释差异显然是重要的；一个较小的差异仍可能揭示需要纠正的控制失败。
公开报告可以提供总数和方法。审计员接收详细的标识符以测试唯一性。候选人可以观察限定的阶段或接收签署的报告，但未经授权不应检查个人凭证或选票级别的记录。
纸质选举使用相同的逻辑：打印、分发、损坏、未使用、投出和计数的选票；施加和破坏的封条；转移的票箱。电子术语不应模糊等同的保管存在于日志、密钥和导出中。
对账是秘密选择集合与公开结果之间的桥梁。没有它，结果仅是运营商断言的一个数字。有了它，成员可以看到数字来自授权选民，尽管没有人能看到每个成员的选择。
验证不得成为投票收据
选民合理地想要证据证明他们的选票已到达。系统可以提供收据号码或让参与者检查包含。如果证明以他人可以核实的方式揭示了所选候选人，设计就变得危险。
一个可以要求候选人特定收据的胁迫者可以强制执行威胁或付款。企业委托人可以强迫代表证明服从。那么，秘密选票仅针对无杠杆的外部人存在。
安全的验证通常回答有限的问题：授权权利已被使用；提交的加密选票出现在一个公开集合中；计票包含所有有效记录；或独立证据验证了计算。它不应使选民能够揭示唯一的明文选择。
端到端可验证性提供了复杂的方法，但复杂性必须与选举匹配。成员需要可用的指令、独立的实施审查以及验证失败时的恢复。一种大多数选民不理解的功能可能产生虚假的保证。
在采用更简单的商业平台的情况下，注册机构应准确说明收据证明了什么。“您的选票已被记录”可能意味着会话已完成，而非最终计票包含了它。提供商和审计员应定义阶段。模糊的成功消息不是证据。
验证记录需要隐私审查。只有当不能通过发行顺序或时间戳将收据号码与成员身份关联时，才可能发布所有收据号码。随机化、分批和分离可以减少相关性。小型选举可能需要更强的抑制。
正确的目标是信任而不转移。选民可以检测遗漏并寻求审查，而第三方不能使用相同的证据来获知或强制执行选择。这个边界应被显式测试，而不是从加密语言假定。
公开证据应分层
并非每条选举记录都属于网站。分层的披露模型保护个人数据和安全，同时维护问责制。公开层应包括治理规则、日历、选民总数、候选人领域、角色分配、冲突、提供商身份、测试证明、事件摘要、对账、聚合结果、投诉和认证。
成员层应显示组织的资格、授权选民、代理状态、选票参与状态和更正历史。它不应显示候选人选择。访问应使用成员正常的安全通道。
审计员层可以包括识别的权限记录、详细日志、配置、特权行动、提供商证据、抽样通信和事件文件。访问受限、被记录并且有时间限制。审计员公开发布发现和限制。
裁决层可能需要额外的材料用于特定争议，包括个人文件或密封的技术证据。当事人仅接收公平所要求的，在适当情况下有保护令或保密。候选人的好奇心不是访问的基础。
提供商根据合同保留安全敏感材料，但注册机构必须确保证据在关系结束后仍可用。数据位置、保留、删除和泄露通知应在投票前达成一致。
分层避免了两种常见失败。完全公开可能暴露选民和系统。完全保密可能使官员成为自身表现的唯一评判者。目的决定访问。
披露计划应在数据存在前批准。在争议后决定会招致选择性透明。成员应知道哪些事实将公开，哪些个人信息被收集，以及谁可以检查受限记录。
公共基础设施是负责任的，因为证据流向正确的审查者，而不是每个字节都公开。
独立认证需要有理由的声明
认证不是在结果表下的仪式性签名。它是决定授权规则已被应用，重要事件已解决，宣布的候选人可以就职。认证者应陈述依据。
一个有理由的证书确认选举、治理文书、合格和参与总数、投票期、系统或方法、对账、执行的审计、收到的投诉、未解决的限制和最终决定。它应说明在有未决挑战时结果是否为临时性的。
独立性是相对的并应披露。由董事会任命的选举委员会仍可在受保护的任务下独立行动。商业提供商独立于工作人员，但有捍卫其服务的利益。由注册机构支付的审计员可以是可信的，如果选拔、范围和报告权利防止了干扰。
认证者需要访问。一个被描述为观察员但被拒绝访问权限记录或提供商日志的角色不能提供强保证。报告应说明不可用的证据、未执行的测试和对陈述的依赖。对限制的坦率比无依据工作的绝对声明更有价值。
投诉应被解决或明确保留。如果一个未决问题不能改变结果，认证者可以解释实质性。如果可以，最终任命应等待，或应适用合法的条件机制。机构不应在审查前通过宣布胜者来制造紧迫性。
LACNIC 使用临时结果和依赖于投诉的后期认证日期演示了正确的顺序。它保留了关于计票的公众信息，同时允许授权审计完成。
认证将技术和管理记录转化为机构权限。它值得与董事会决议相同的透明度：谁决定的，基于什么权力、什么证据以及什么限制。
供应商不吸收机构责任
第三方投票服务可以改善分离和专业性。APNIC 曾使用 BigPulse；RIPE NCC 使用 Assembly Voting；AFRINIC 在 2025 年选举中使用了外部提供商。供应商可能减少工作人员对选择的访问并提供经过测试的基础设施。
外包不转移注册机构的章程责任。协会选择提供商，配置选票，提供资格，与选民沟通并接受结果。它必须充分理解并审计服务以捍卫这些行为。
合同应涵盖保密、数据最小化、特权访问、分包商、系统变更、事件通知、可用性、日志、独立测试、证据导出、保留、删除和针对挑战的合作。提供商关于专有技术的主张不能阻碍结果保证。
注册机构应公布提供商名称，在适当级别说明选择理由，以及所获得的保证。安全敏感的报告可被摘要。已知的限制应塑造选举：如果平台不能支持撤销或强分离，规则必须考虑到这一点，而不是暗示一种能力。
供应商工作人员的利益冲突和访问很重要。哪些人员可以查看成员身份、重置凭证、更改配置或导出结果？关键行动是否双人控制？访问是否被记录并由供应商团队以外的人审查？
连续性计划应应对提供商失败。注册机构需要验证的配置和权限数据备份，延长投票的规则，以及一种在不产生重复的情况下保全已投选票的方法。选举中更换服务是一项极端行为，需要独立指导。
一个熟悉的品牌不是公共证据。供应商参与是更大机构设计中的一项控制。成员选举其注册机构董事会，而不是软件公司，注册机构仍对其委托的每一项权力负责。
远程投票扩大了威胁面和证据面
电子访问创造了风险：账户接管、网络钓鱼、恶意软件、拒绝服务、内部特权以及身份与选择的关联。它也创造了非正式纸质流程中不可用的证据：签署的配置、访问日志、防重复、系统监控和精确的对账。
NIST 选举基础设施概况通过选民注册和投票系统的风险管理来框架选举技术。RIR 不需要全盘复制国家选举标准，但功能是相关的：识别资产和风险，保护访问和数据，检测异常，在确定权限下响应，并在保全证据的同时恢复。
成员账户在选举前应得到更强保护，而不是在开启时紧急注册。多因素认证、联系人确认和网络钓鱼警告应成为常规。选举消息应使用可预测的域名，并允许成员通过门户验证链接。
监控不得成为选民监视。安全团队可以在不分析候选人选择的情况下检测重复失败、不可能访问和服务攻击。网络地址和设备数据应受限并仅在需要时保留。隐私评估应解释平衡。
事件响应应保全秘密选票。重置凭证不得暴露或更改先前的选票。从备份恢复必须防止重复计数。日志应在管理员做出更改之前，在完整性控制下复制。
网络安全报告出于良好理由经常保密。公开摘要仍可陈述考虑的威胁、应用的控制、完成的测试、检测的事件和接受的残余风险。沉默不是安全。
远程投票可以支持比一个由几位与会者观察的纸箱更严格的证据。实现这一优势需要设计用于审计的日志，同时防止它们被用于重构选票。
注册局选举的两层审计模型
第一层是权限和操作。它是已识别且受限的。它验证成员资格、企业代理权、投票权重、代理集中度、令牌发行、访问控制、配置、事件和一次性使用。审计员可以追溯每一项权利从合法来源到一个匿名接受边界。
第二层是选票和结果。它是匿名的且可独立验证的。它确认接受的选票是不可变的，全部被包含，计票规则正确，并且发布的总数与受保护的记录一致。它不允许从选票到成员的普通逆转。
两层通过对账相遇，而不是通过永久的身份-选择表。总数、加密承诺或受控的令牌检查显示每一项使用的权利对应一张选票。例外在不暴露未受影响的选择的情况下在边界处被调查。
公开报告镜像该模型。权限报告披露选民总数、验证类别和集中度。结果报告披露投票率、有效选票、候选人总数和审计结果。事件报告说明哪一层受到影响以及是否存在交叉风险。
治理环绕两者。公布的角色定义谁可以访问每一层。冲突和关键行动被记录。独立审查员听取投诉。认证说明两层及其对账通过了定义的测试。
该模型适用于纸质以及电子投票。权限台检查选民并发放经验证的纸张而不记录其标记。票箱和计数保护匿名选票。已发放、损坏、未使用和已计数的纸张对账。技术改变了工具，而非原则。
该模型还澄清了补救措施。一个孤立的权限错误可能影响一项权利。一次选票层的完整性失败可能影响全部计票。层之间的断裂链接可能使范围不确定。补救措施应遵循受影响的领域和实质性，而非政治压力。
两层使保密和问责成为盟友。强权限证据将无效访问拒之门外；强选票分离使有效选择保持私密；独立对账为公众信任结果提供理由。
小型选民群体需要更强的推断控制
注册局选举通常远小于公共选举。一个结果可能按地区、成员层级、投票方法或代理状态报告，因为这些类别对治理很重要。每个额外的细分都可能使秘密选择更容易推断，特别是在一个类别包含一个或两个组织时。
因此，披露应针对组合风险进行测试。假设公众知道某个国家的一个成员投了票，该成员任命了一位公开竞选的代理，并且候选人总数按匹配的加权数量变化。这些事实没有一个单独揭示选择；但放在一起，它们可能揭示。当参与者宣布他们何时投票时，精确的时间戳可能造成同样的问题。
公开报告计划应设定最小单元格大小，合并稀有类别，并延迟敏感的参与细节。加权系统需要特殊关照，因为独特的权利可以像指纹一样起作用。收据应是随机的且无序的。事件报告应避免说明某个类别中的唯一成员支持或反对一项工具，从而暗示其选票。
受限审计员仍可检查完整数据。公开汇总限制推断，而非问责。审计员确认区域和层级计算，检查抑制是否被一致应用，并报告是否有任何官方发布创造了可靠的重新识别途径。
候选人也需要限制。一场竞选可能想要一份尚未投票的成员名单，以便动员投票率。在小型企业选民群体中，该信息创造压力，并与后来的报告结合，可能暴露政治行为。如果投票率更新被发布，它们应是广泛的、按计划安排的，并对所有人可用。个人参与状态属于成员和选举办公室。
组织自身可能宣布其选择。自愿的政治言论不同于系统生成的证据。注册机构不应设计允许雇主或组织者强迫此类披露的收据。也不应将公开背书视为同意暴露实际选票。
推断审查不是发布任何信息的论据。完全的沉默使成员无法测试集中度和参与度。它是一种刻意统计的论据：披露支持合法性的内容，抑制将可识别组织与选择联系起来的内容，并让独立审查员检查未抑制的证据。
小型选举使这一边界更具挑战性，而非更弱。它们的基础设施必须足够公开以验证，足够私密以使每个成员仍能在选票中改变想法而不被观察。
发布还应意识到累积风险。一份在投票前发布的无害登记册，当后来与详细的事件报告和提供商时间戳结合时，可能变得具有标识性。应有人审查所规划的披露的整个序列，而不是孤立地批准每一条。当新的事实出现时，较早的发布无法从公共记忆中收回，因此后期报告可能需要更广泛的汇总。认证者仍可陈述底层证据已被检查并发现一致。这种做法保留了持续性公开记述的价值，而不允许在一个阶段的透明度推翻另一阶段的保密。
同样的审查应涵盖由承包商和观察员发布的信息。注册机构可能仔细汇总，而提供商发布确切的服务统计数据，或者一位证人发布照片显示谁站在投票桌前。合同和观察员指令应在不阻止合法报告的情况下定义保密边界。当意外的披露发生时，官员应评估推断风险，必要时通知受影响的成员，并调整后期发布。选票保密由整个选举环境维护，而不仅仅由持有选择的数据库。协调的披露控制因此是基础设施问责制的一部分，而不是排除审查的理由。
发布足够的信息让信任成为可选项
成员们总会对选举官员、提供商和审计员寄予一定的信任。没有报告能让每位选民亲自检查每个系统。良好的治理减少盲目信任的量，并使剩余的依赖变得明确。
在投票前，公布规则、选民过程、日历、选票定义、角色、冲突、提供商、隐私通知、审计计划和投诉路线。在投票期间，公布服务状态和重要事件，而不发布可能扭曲竞选活动的投票率信息，除非规则授权。在关闭后，公布对账、临时结果、审计发现、投诉和有理据的认证。
给每个成员关于资格和参与的私人确认。给审计员对完整证据的受控访问。防止候选人、工作人员和供应商在没有合法特别授权的情况下进入选择数据。记录每一个例外访问。
AFRINIC 2025 年的争议说明了为什么这一区别很重要。保密并不要求对多少份授权文件被质疑、多少相关权利被颁发或为何广泛的宣告无效是相称的这些事实保持沉默。发布这些事实不会披露候选人选择。它们的缺席使得机构保证更难。
这一原则在整个 RIR 系统中适用。APNIC 的已识别审计字段和保密选票，RIPE NCC 的第三方访问程序，LACNIC 的验证时间间隔，以及公开的选举安全标准，都提供了可行的组成部分。注册机构可以调整它们以适应协会法律和成员投票，而不必假装在管理国家选举。
秘密选票不是一间暗室。它是一项在明亮的机构中移动的受保护选择。灯光应揭示门、守卫、记录、转移、事件和宣布结果的权力。它们绝不应揭示哪个私人标记属于哪个成员。
当基础设施在这个意义上公开时，信任变成由证据支持的结论，而非管理者向选民索取的恩惠。这就是秘密投票旨在服务的合法性。