Последнее время все обсуждают, стоит ли переносить или обновлять основную публичную цепочку перед крупным апгрейдом/жестким форком, и я одновременно листаю мемы и внутренне бормочу: по сути, новичкам действительно важно понять, насколько проект надежен, а не смотреть на К-линию, сначала стоит проверить, не стесняется ли команда показать свои трусы.

Мои три простых метода сейчас такие: GitHub не должен быть «последнее обновление в прошлом веке», по крайней мере, чтобы было видно, что кто-то серьезно исправляет баги и отвечает на issue; отчет об аудите не должен быть просто логотипом, важно, чтобы было ясно, что нашли, как исправили, есть ли повторная проверка; также важна мультиподпись при обновлении, кто подписывает — не обязательно знать лично, но хотя бы не один человек один на один открывает дверь, желательно с задержкой или объявлением, чтобы дать себе время сбежать. В любом случае я не учитель, просто в лифте напомню: не стоит полностью доверять фразе «мы очень безопасны».