Hace unos días quería probar un nuevo protocolo, revisé GitHub durante mucho tiempo, los registros de commits eran bastante activos, pero mi obsesión por la seguridad todavía me hace revisar primero “quién está fusionando el código”, si hay uno o dos mantenedores clave que han estado ausentes por mucho tiempo… También no solo miro la portada del informe de auditoría que menciona varias grandes firmas, en realidad solo reviso la página de conclusiones: qué alcance cubre, si hay vulnerabilidades críticas sin arreglar, si las correcciones están “confirmadas” o si “el equipo de desarrollo dice que las arregló”. La actualización de la firma múltiple es aún más importante, reviso el número de firmas y el umbral, y sería ideal poder ver si los firmantes están distribuidos, si hay cambios temporales en las personas. Una vez me encontré con una situación así, en el grupo del proyecto estaban presionando mucho, por otro lado estaban discutiendo expectativas de reducción de tasas, el dólar se movía y los activos de riesgo también subían, y mi mano quería actuar… Pero al revisar, vi que la firma múltiple acababa de actualizarse, la lista de miembros aún no era pública, así que pensé, si no entiendo, mejor no mover nada, y si pierdo la oportunidad, pues la pierdo, al menos no me levantaré en medio de la noche llorando.