سألني المبتدئ كيف يرى "المصداقية" من خلال GitHub، وتقارير التدقيق، وترقية التوقيع المتعدد، عادة لا أعلّم مهارات… أقول أولاً شيئًا غير بديهي: لا تتسرع في الاعتماد على نظام العلامات. مؤخرًا، لم يتذمر أحد من أن أدوات البيانات على السلسلة تتأخر في تحديث عناوين العلامات، أو حتى يمكن أن تُضلل، وأن العلامات التي يضعها فريق المشروع مثل "آمن/لامركزية" يمكن تغييرها في أي وقت، تمامًا مثل تأخير التوفيق، المظاهر الرقمية جميلة لكن لا تعني جودة التنفيذ.

سوف أبدأ بفحص GitHub لمعرفة "الإنسانية": هل هناك من يواصل الصيانة على المدى الطويل، هل يرد على المشاكل، هل التعديلات تدور حول نفس المنطق، أم أن هناك موجة كبيرة من التعديلات ثم صمت؟ تقرير التدقيق لا تكتفي فقط بمشاهدته على أنه "مرّ"، بل انظر إلى ما أشار إليه، وما المخاطر التي "تم قبولها"، وهل تم إصلاحها لاحقًا، لا تكتفِ بملف PDF كتميمة حماية. الترقية إلى التوقيع المتعدد أكثر واقعية: من هم الموقعون، قد لا تفهم جميع التفاصيل، لكن على الأقل يمكن الحكم على العتبات، وهل هناك قفل زمني، وهل هناك حدود للحقوق الطارئة، فهذه تساعد على فهم "من يمكنه تغيير القواعد بضغطة زر عند وقوع مشكلة".

ما تعلمته ليس مهارة، بل أن تفكر فيها كمسار تنفيذ — من يمكنه التغيير، كيف يغير، وكم من الوقت ستعرف بعد التغيير. هكذا، لن يُخدع بسهولة بـ"شيء يبدو آمنًا جدًا" ويُخدرك.