Hoje de manhã, ao sair de casa, parecia que a estrada tinha acabado de ser molhada, escorregava, mas não o suficiente para cair, e ao voltar, senti a mesma sensação na cadeia: produtos de rendimento todos ali, comparando com o rendimento dos títulos do Tesouro dos EUA, parece muito estável, mas na mão sempre dá uma sensação de frio.

Os novatos querem verificar se um projeto é "confiável ou não", eu agora basicamente olho para três coisas: se o GitHub tem alguém realmente trabalhando (não aquele tipo de fazer uma grande submissão uma vez por semana só para parecer ativo), o que diz o relatório de auditoria e se houve alterações depois (não basta só tirar uma captura de tela do logo), e se as permissões de atualização são multi-assinatura, quantas pessoas, qual o limite, se dá para alterar o contrato facilmente. Para ser claro, multi-assinatura não é uma carta de imunidade, mas pelo menos é melhor do que "uma chave privada decide seu destino". De qualquer forma, quando vejo "atualizável + assinatura única", parece previsão do tempo dizendo que vai chover forte, então já preparo o guarda-chuva... por agora é isso.