Tenho estado a observar silenciosamente no grupo há algum tempo, mas não consegui resistir a dizer uma coisa: se um iniciante quer avaliar se um projeto é “confiável ou não”, não fique só a olhar para as velas para encontrar respostas, primeiro limpe o espelho, veja se está a ser levado pelas emoções… normalmente começo por três pequenas coisas.

Não olhe só para as estrelas e o número de commits no GitHub, o mais importante é: há alguém a manter o projeto a longo prazo, há registos de discussão sobre alterações importantes, as versões e atualizações do contrato na cadeia estão sincronizadas com o tempo? Além disso, não se deixe enganar pelo “auditoria concluída” na análise de relatórios, folheie algumas páginas para ver quais áreas foram auditadas, se há “problemas conhecidos não resolvidos/só sugestões”, e se é sempre o mesmo modelo de relatório de uma mesma empresa. Por último, verifique as permissões de atualização/multisig: quantas pessoas participam, qual é o limite, quem tem as chaves (mistura de equipa/comunidade/instituição é mais sólido), e se há mecanismos de pausa de emergência ou atraso, como “freio”.

Recentemente também se discute bastante sobre as ferramentas de dados na cadeia, sistemas de etiquetas que estão atrasados ou até podem induzir em erro, por isso prefiro usar elementos públicos e verificáveis para cruzar informações: código, relatórios, estrutura de permissões. Quando estes três pontos se alinham, aí podemos dizer que a “confiança” começa a ter alguma base. De qualquer forma, não confio muito em sinais isolados.