La tercera vez que un amigo me pregunta "¿Este proyecto es confiable?", ahora casi no miro las velas primero, sino que reviso GitHub y los informes de auditoría. GitHub no se trata de cuántas estrellas tiene, en realidad se trata de si las actualizaciones son normales, si hay signos de mantenimiento a largo plazo, si las modificaciones clave tienen explicaciones, no solo hacer grandes cambios y justificarlos con un "refactor" de manera engañosa.

Los informes de auditoría tampoco deben limitarse a "aprobado/no se detectaron problemas importantes", sino que hay que ver si la lista de problemas está escrita de manera concreta, si hay pruebas de que fueron corregidos, y lo ideal es que coincidan con los registros de commits del código. Además, en la actualización de la firma múltiple, que los novatos suelen pasar por alto: quién puede firmar, cuántos pueden firmar para que se pueda mover, si hay retrasos (timelock), estos aspectos determinan si "estás comprando un protocolo o el estado de ánimo del administrador".

Recientemente, las etiquetas de las herramientas de datos en la cadena han sido criticadas por estar desactualizadas o ser engañosas, también lo reconozco... así que ahora tomo las "etiquetas" como referencia, y la "estructura de permisos" y los "cambios en el código" como línea base. Después de investigarlo, quizás no haga la compra, pero al menos dormiré más tranquilo.