A segurança da urna eletrônica foi concebida para identificar qualquer alteração indevida em seus componentes físicos ou nos sistemas. O equipamento verifica continuamente a própria integridade e interrompe o funcionamento quando algo não corresponde à configuração oficial. É essa característica que permite comparar sua estrutura a um “castelo de cartas”: se uma peça for retirada, substituída ou modificada, toda a operação é interrompida.
A analogia ajuda a diferenciar a urna de um cofre convencional. Um cofre busca resistir à força empregada para abri-lo. Já a urna eletrônica foi desenvolvida para perceber mudanças em sua estrutura, nos programas instalados ou nos equipamentos conectados. Caso seja incluído um sistema diferente ou modificado um arquivo essencial à integridade da votação, por exemplo, a verificação de segurança falha e a urna não conclui a inicialização. Essa estrutura nasceu com a urna, ou seja, não pode ser desativada.
Essa fiscalização começa antes mesmo de o sistema principal ser iniciado. Além do processador responsável pelo funcionamento da urna, o equipamento possui processadores dedicados à segurança. Entre eles está o Módulo de Segurança Embarcado (MSE), que verifica os componentes mais fundamentais da máquina. Se alguma dessas etapas não for concluída corretamente, o módulo desliga o processador principal, impedindo que a urna continue funcionando em uma condição considerada insegura.
“A urna verifica toda a autenticidade a todo momento”, ressalta o coordenador de Tecnologia Eleitoral do Tribunal Superior Eleitoral, Rafael Azevedo. A proteção alcança também os componentes físicos necessários à votação. Por exemplo, a retirada da impressora interna ou a desconexão do terminal do mesário podem levar o equipamento a identificar uma condição irregular e interromper a operação. “Ela está numa situação que não entende como saudável”, afirma Azevedo. Segundo ele, a urna pode continuar funcionando temporariamente sem bateria, porque dispõe de alimentação elétrica, mas não sem componentes essenciais à votação.
A interrupção, portanto, não significa uma falha da segurança, mas justamente o funcionamento dos mecanismos criados para impedir que o equipamento continue operando após uma mudança não autorizada ou imprevista.
Rastros
Além de impedir o funcionamento de qualquer sistema não autêntico na urna eletrônica, os mecanismos de segurança geram informações que permitem a auditoria de todas as etapas do processo. Entre esses registros está a vinculação de cada equipamento preparado à respectiva seção eleitoral para a qual foi destinado. Essa correspondência integra os documentos produzidos durante a cerimônia pública de preparação das urnas, acompanhada pelos partidos políticos e pelas demais entidades fiscalizadoras.
Essas informações são publicadas na véspera da eleição e podem ser comparadas com o resultado emitido por cada urna, disponibilizado tanto na própria seção eleitoral quanto na internet nos veículos oficiais da Justiça Eleitoral.
Cada urna também possui uma assinatura digital exclusiva, distinta da utilizada por qualquer outro equipamento. Assim, um programa não autorizado não apenas seria identificado e impedido de funcionar pelos mecanismos de verificação de integridade, como também não conseguiria gerar informações autenticadas em cada urna eletrônica e reconhecidas pelos sistemas oficiais como autênticas.
Substituição
Outro princípio importante da urna eletrônica é que também não são realizados consertos ou alterações por meio de computadores externos. Se uma urna apresentar problema, são adotados os procedimentos de contingência previstos na Resolução do TSE nº 23.751/2026, que dispõe sobre os atos gerais do processo eleitoral: como reiniciar o equipamento ou substituí-lo por outra urna de contingência previamente preparada, remetendo a urna com defeito ao local designado pela Justiça Eleitoral. Todos os programas utilizados para substituir uma urna ou recuperar informações de urnas que apresentaram defeito são feitos apenas pelos próprios sistemas do equipamento, em versão única e oficial, lacrados em cerimônia pública, com a apresentação prévia de todos os códigos-fonte.
Ou seja, a lógica do “castelo de cartas” está longe de significar uma fragilidade. Ao contrário: representa uma estrutura em que os componentes dependem uns dos outros e precisam permanecer íntegros para que o equipamento funcione. Qualquer mudança rompe esse encadeamento, deixa rastros e impede que a urna prossiga normalmente. Assim, em vez de tentar permanecer operante a qualquer custo, o equipamento obrigatoriamente para de funcionar diante de uma situação que não reconheça como segura e possa comprometer as eleições.
