Нещодавно я знову бачив, що якась основна публічна ланцюгова мережа збирається оновлюватися/обслуговуватися, у чаті всі вгадують, чи переїде екосистема проектів. Я навпаки спершу пішов дивитись їхній GitHub, звіти про аудит, а також набір для оновлення мульти-підпису… Кажучи просто, я дивлюся, чи “цей проект зазвичай серйозно виконує домашнє завдання”.

Я не дивлюся на кількість зірок на GitHub, я дивлюся, чи оновлення тривають стабільно, чи хтось відповідає на issues, і чи ключові зміни відбуваються раптово і швидко. Звіти про аудит не варто дивитися лише за логотипом на обкладинці, важливо: чи чітко розподілені рівні проблем, чи вони вже виправлені, чи є повторна перевірка, інакше це схоже на “дивитися лише висновок медичного огляду” — трохи поверхнево. Мульти-підпис більш наочно: кілька ключів, хто їх має, чи є таймлок (щоб дати час на реакцію), чи оновлення може змінити все за одну ніч.

Моя мама кілька днів тому запитала мене: “Чому ви купуєте графік, і навіщо дивитися код?” Я можу відповісти лише частково: не боюся втратити, а боюся, що люди втечуть і випадково замкнуть двері… В будь-якому разі я вважаю за краще йти повільніше, ніж бути навчений “терміновим оновленням”.