Нещодавно знову побачив, що багато хто використовує «GitHub дуже активний» «пройшов аудит» як білет на безсмертя, по суті новачки хочуть побачити довіру, не лише дивитись, чи є, а й звертати увагу на деталі: не слід лише дивитись на кількість комітів на GitHub, а й переглядати релізи та теги, чи є чіткий опис змін, хто робив рев’ю, чи оновлення — це тимчасові зміни або багато правок; також не слід лише робити скріншоти обкладинок аудиторських звітів, принаймні поглянути, чи є «виправлені/невиправлені» високоризикові проблеми, чи це просто зміни у коді або порожні слова. Найголовніше — це рівень доступу до оновлень: скільки людей підписали, який поріг, чи підписують різні особи, краще ще подивитись на таймлок, наявність буферного періоду — тоді буде спокійніше. Сьогодні ввечері ставки знову екстремальні, у чаті сперечаються, чи продовжувати накачувати бульбашку, я ж спершу розберуся з правами та шляхами оновлення… Мій сусід ще пожартував, що я вночі слідкую за адресами контрактів, наче наглядаю за порядком, гаразд, поки так.