Últimamente la gente me pregunta: ¿en qué confían los novatos al ver un proyecto?

Dicho claramente, no confíen ciegamente en una frase como “auditado”, primero revisen el informe de auditoría en la página de conclusiones y riesgos conocidos,
vean si hay “exclusiones de alcance” o “solo para cierta versión”; luego revisen en GitHub si los commits están activos, qué cambios hubo antes y después de la actualización, si hay parches de emergencia o algo así.
Lo más importante sigue siendo la firma en las actualizaciones: quién firma, cuál es el umbral, si hay timelock, si pueden cambiar las reglas de un día para otro.
Las herramientas en la cadena y el sistema de etiquetas han sido criticados por ser lentos o engañosos, lo entiendo, por eso suelo guardar capturas de pantalla de las páginas clave…
total, en unos días puedo verificar quién está diciendo tonterías.