Recentemente, ao ver todo mundo focado na atualização/manutenção da principal cadeia pública, todos os dias adivinhando se o ecossistema vai se mudar, eu acabei revisando o GitHub do projeto e os relatórios de auditoria… Para ser sincero, quando um iniciante avalia a “credibilidade”, eu olho para três coisas: se há alguém realmente fazendo alterações no código (não apenas uma enxurrada de commits de uma noite para o dia), se o relatório de auditoria explica claramente “o que não foi coberto / riscos ainda existem”, e se as permissões de atualização são multiassinatura, quem assina, se pode trocar, e se há um bloqueio de tempo. Sobre multiassinatura, admito que tenho um pouco de inveja: a equipe deles tem um processo bem estruturado e parece estável, enquanto aqui só rezo para que nada dê errado na hora de digitar. De qualquer forma, por mais que seja animado, se as permissões e os processos não forem transparentes, eu evito ao máximo, para dormir mais tranquilo.