Últimamente siempre me preguntan: ¿cómo se ve si GitHub, los informes de auditoría, las actualizaciones de múltiples firmas son "confiables o no"? En realidad, no esperes entenderlo de un vistazo, primero mira lo más básico: ¿GitHub tiene mantenimiento a largo plazo, las actualizaciones son consistentes, hay respuestas serias a los issues, o solo hay un montón de commits de repente en una noche y los autores parecen haber desaparecido?

Tampoco confíes ciegamente en los informes de auditoría, tener un informe ≠ seguridad, lo importante es verificar si auditan la versión más reciente, si hay conclusiones de "ya reparado/no reparado", especialmente cómo manejan las vulnerabilidades relacionadas con permisos. Algunos proyectos ponen en ese informe que hay riesgos altos pero no los arreglan, y yo simplemente los bloqueo en silencio.

Me importa más la actualización de múltiples firmas: quién puede actualizar, cuántas llaves se necesitan, si hay un bloqueo de tiempo. Si alguien puede cambiar el contrato con un solo clic en cualquier momento, incluso las narrativas más calientes me hacen sentir incómodo. Últimamente se habla mucho de agentes de IA, comercio automático y esas cosas, pero cuanto más automáticas, más fácil es ceder la autorización, en seguridad hay que ser muy meticuloso... si no, en un minuto te la juegas.