Últimamente he estado enseñando a mis amigos a evaluar si un proyecto es "confiable o no", y me he dado cuenta de que en realidad no es tan misterioso. No solo mires las estrellas en GitHub, primero revisa si las actualizaciones son discontinuas, si los commits son hechos por las mismas dos o tres cuentas pequeñas que se están divirtiendo; y en los informes de auditoría, no te quedes solo con "aprobado", enfócate en si la lista de problemas ha sido realmente corregida, o si simplemente dejan una línea que dice "riesgos conocidos, asuma usted mismo" y lo dejan pasar. La actualización de la firma múltiple es aún más importante, quién puede firmar, cuántos son necesarios, si se puede cambiar el firmante a voluntad, esto es como una cerradura o una caja fuerte, que no llama la atención normalmente, pero en caso de problemas depende totalmente de ella. Recientemente, esa cadena pública principal está en proceso de actualización/mantenimiento, en el grupo todos están especulando si el proyecto se mudará, yo de mi parte primero hago una lista de las interacciones necesarias, y espero a que sea en horas de menor tráfico para actuar, no apuestes tu suerte en momentos de congestión.