Últimamente, veo a todos especulando sobre si moverán o no su ecosistema antes y después de la actualización o bifurcación dura de alguna cadena principal, y mientras paso el tiempo mirando memes, me pregunto en mi interior: en realidad, si un novato quiere saber si un proyecto es confiable, no debe fijarse primero en las líneas de precio, sino en si se atreve a mostrar sus pantalones bajados.

Mi método actual se reduce a tres cosas: que en GitHub no sea del tipo "la última actualización fue en el siglo pasado", al menos para ver si alguien está arreglando bugs y respondiendo a issues; que los informes de auditoría no solo muestren un logo y ya, sino que expliquen claramente qué encontraron, cómo lo corrigieron y si pasaron una revisión adicional; y que la actualización con firma múltiple sea importante, no importa si conoces a los firmantes, pero al menos no que sea una sola persona quien tenga la llave, lo ideal sería que tenga un período de retraso o anuncio, para darte un tiempo de "puedo correr". En fin, no soy profesor, solo quiero recordarlo en el ascensor: no pongas toda tu confianza en una simple frase de "somos muy seguros".