Antes, eu olhava para o projeto "confiável ou não confiável", basicamente focava nas velas e quem gritava mais alto no grupo… Agora, na verdade, primeiro dou uma olhada no GitHub e nos relatórios de auditoria, pelo menos verifico se há alguém ativo há bastante tempo, se há registros de commits que não foram acumulados em um ou dois dias. Também não sou superstitioso com auditorias, ter um relatório ≠ sem problemas, geralmente foco em dois pontos: se há problemas classificados por gravidade e se eles foram realmente resolvidos no final (não basta escrever apenas "conhecido"). Sobre o controle de permissões de atualização, a assinatura múltipla é bem importante, na prática, não deixar uma pessoa fazer alterações só porque quer, o ideal é assinatura de várias partes + atraso, para dar tempo de reação a todos. Recentemente, com taxas de financiamento extremas, o grupo discute se deve reverter ou continuar a espremer a bolha, e eu estou ainda mais preguiçoso para adivinhar, primeiro entendo se é possível mudar as regras no meio da noite, tomo um gole de café frio, e o resto fica por conta do acaso.