No grupo, tenho ficado quieto por um tempo, mas não consegui resistir a dizer uma coisa: se um iniciante quer ver se um projeto é “confiável ou não”, não fique procurando respostas nas linhas de vela, primeiro limpe o espelho, veja se você está sendo levado pelas emoções… Eu geralmente começo com três pequenas coisas.

Não olhe apenas as estrelas e o número de commits no GitHub, foque em: se há manutenção de longo prazo, se há registros de discussão sobre mudanças importantes, se o tempo de lançamento e atualização do contrato na cadeia estão alinhados. Além disso, não se deixe cegar pelo “auditoria concluída” na relatório, folheie algumas páginas para ver quais áreas foram auditadas, se há “problemas conhecidos não resolvidos/somente sugestões”, e se é sempre o mesmo modelo de relatório de uma mesma empresa. Por fim, verifique as permissões de atualização/multissignature: quantas pessoas assinam, qual o limite, quem tem as chaves (mistura de equipe/comunidade/instituição é mais seguro), e se há mecanismos de pausa de emergência ou atraso, como um “freio”.

Recentemente, também tem havido discussões sobre ferramentas de dados na cadeia, sistemas de etiquetas que estão atrasados ou até podem enganar, então prefiro usar elementos públicos e verificáveis para cruzar informações: código, relatórios, estrutura de permissões. Quando esses três pontos se alinharem, aí podemos dizer que a “confiabilidade” tem algum fundamento. De qualquer forma, eu não confio muito em sinais isolados.