Recentemente, o grupo voltou a falar se alguém vai migrar antes ou depois de uma atualização/manutenção da cadeia principal mainstream, todos ficam de olho na fofoca da migração, mas eu na verdade quero mais é ver se “acredita ou não”. Outros pensam que é seguro porque o número de estrelas no GitHub ou o número de commits é alto; na prática, muitas mudanças críticas estão escondidas em uma assinatura múltipla de uma atualização, quem assina, há alguma barreira, é possível trocar a assinatura temporariamente, esses são os pontos que podem te fazer acordar no meio da noite.

Eu mesmo, ao ler relatórios de auditoria, não finjo entender: primeiro procuro as conclusões que dizem “não reparado/risco aceito”, depois verifico no GitHub se as mudanças realmente foram feitas. Ainda mais simples: a permissão de atualização é assinatura única ou múltipla, quantas pessoas, se são públicas, se há timelock (aquele que dá tempo para reagir), esses aspectos são mais confiáveis do que a “narrativa”. Para ser claro, a auditoria é um diferencial, a estrutura de múltiplas assinaturas é a base… Eu só fico observando e comentando, por agora é isso.