He estado en modo sigiloso en el grupo durante mucho tiempo, pero no puedo evitar decir una cosa: si los novatos quieren ver si un proyecto es "confiable o no", no se centren solo en las velas para buscar respuestas, primero límpiense las gafas, y vean si están siendo llevados por las emociones… Generalmente, empiezo con tres pequeñas cosas.

No solo miren las estrellas y las contribuciones en GitHub, lo importante es: si hay mantenimiento a largo plazo, si las modificaciones clave tienen registros de discusión, si las fechas de lanzamiento y actualización de contratos en la cadena coinciden. Tampoco se dejen engañar por el simple hecho de que un informe de auditoría diga "ya auditado", revisen varias páginas para ver qué áreas cubrió, si hay "problemas conocidos no solucionados / solo recomendaciones", y si la misma plantilla se usa en todas las auditorías por la misma empresa. Finalmente, los permisos de actualización / multisig: cuántas personas firman, cuál es el umbral, quién tiene las llaves (una mezcla de equipo/comunidad/institución es más sólida), y si hay mecanismos de pausa de emergencia o retraso, como un "freno".

Últimamente también se habla mucho de las herramientas de datos en la cadena, los sistemas de etiquetado que están atrasados o incluso pueden engañar, así que prefiero cruzar la información con elementos públicos y verificables: código, informes, estructura de permisos. Cuando los tres coinciden, eso sí que da cierta "confianza" que puede ser aplicada. En fin, no suelo confiar en una sola señal.