Últimamente en el grupo vuelven a hablar de si alguien se mudará antes o después de la actualización/mantenimiento de esa cadena pública principal, todos están atentos a los chismes de la migración, pero yo en cambio quiero ver si “confías o no”. Otros piensan que con más estrellas en GitHub y commits más frecuentes está asegurado; en realidad, muchas modificaciones clave están escondidas en una firma múltiple durante una actualización, quién firma, si hay umbral, si se puede cambiar a alguien más temporalmente, esas son las cosas que te harán despertarte en medio de la noche.

Yo mismo no pretendo entender todo al leer informes de auditoría: primero busco en las conclusiones esas líneas de “no reparado/aceptar riesgos”, y luego reviso en GitHub si realmente han hecho los cambios necesarios. Un poco más básico: si los permisos de actualización son firma simple o múltiple, cuántas personas, si son identidades públicas, si hay timelock (ese que te da tiempo para reaccionar), esas cosas son más confiables que solo la “narrativa”. En resumen, la auditoría suma puntos, pero la estructura de firma múltiple es la base… Yo solo lo leo y lo comento mientras tanto, así que así quedamos.