Yo, como principiante, evalúo si un proyecto es "confiable" o no.

Por ahora, no me concentro en esas grandes narrativas, sino en tres cosas: GitHub, informe de auditoría, y actualización de firma múltiple.
GitHub no es para ver cuántas estrellas tiene… principalmente miro si ha habido actividad reciente, si una o dos personas están trabajando en él a puerta cerrada, y si alguien hace seguimiento cuando surgen problemas.
El informe de auditoría tampoco lo tomo como talismán, sino que me fijo en si deja claro los límites: qué se auditó, qué no, cómo se manejan los riesgos conocidos, de lo contrario sería como un chequeo médico solo con medición de presión arterial y decir que todo está bien.

Para la actualización de firma múltiple, lo veo como “quién tiene la llave de la puerta de la casa”: cuántas llaves hay, quién las tiene, si se puede añadir o cambiar la cerradura temporalmente, y si hay un tiempo para que todos puedan reaccionar.
Últimamente, con los beneficios en seguridad de la prenda/compartir que se acumulan y que muchos critican por ser un esquema de capas, en realidad me interesa más si los permisos en la capa base también están en capas…
De todos modos, sigo igual, con una pequeña posición dividida en capas, observando lentamente, sin dejarme llevar por una sola diapositiva de PPT.