Agora estive a revirar notas antigas e vi a retrospectiva daquele projeto, em 2017, que tinha “sido auditado” e depois fugiu… Agora, sempre que abro um novo projeto no GitHub, eu próprio verifico primeiro a frequência de commits e a qualidade das discussões nas issues, em vez de olhar apenas para o número de estrelas. Para ser honesto, os relatórios de auditoria também: muitos novatos olham logo para aquelas poucas linhas da conclusão do tipo “nenhuma vulnerabilidade crítica foi encontrada” e avançam, mas as condições de pressuposto no corpo do texto, o alcance da cobertura de testes e aqueles pontos “n/a” é que são, na realidade, o verdadeiro enredo de terror. E nem se fala em atualizar multi-assinaturas: a lista de signatários são alguns KOLs bem conhecidos ou antes endereços anónimos? A diferença é enorme.

Ultimamente, esses projetos que voltaram a apostar e os de partilha de segurança têm-se andado a picar bastante, e dizem que a sobreposição de rendimentos está “em forma de boneca russa”. Eu, pessoalmente, acho que, se os ativos subjacentes em si não forem transparentes, então seja quantas camadas forem, é sempre uma construção no ar. Depois de ver de tudo um pouco, percebi que, na essência, a confiança não se “monta” com gritos do tipo “fizemos uma auditoria”; constrói-se sim pela vontade de mostrar a todos cada submissão no GitHub e cada nota de rodapé de cada relatório de auditoria.

O que eu mais temo perder, na verdade, não é uma oportunidade qualquer de cem vezes; é eu, sabendo claramente que há warning no código, ainda assim me convencer à força de que aquilo é “um evento de baixa probabilidade”.