Gần đây luôn có người hỏi tôi: Những người mới nhìn dự án cuối cùng tin vào điều gì. Nói thẳng ra đừng mê tín vào câu “đã được kiểm toán”, hãy mở báo cáo kiểm toán ra xem trang kết luận và các rủi ro đã biết, xem có “phạm vi loại trừ” hay “chỉ dành cho một phiên bản nào đó” không; sau đó vào GitHub xem các commit có còn hoạt động không, xem đã thay đổi gì trước và sau khi nâng cấp, có những bản vá nóng gấp gáp kiểu đó không. Điều quan trọng nhất vẫn là nâng cấp đa chữ ký: ai là người ký, ngưỡng ký là bao nhiêu, có khóa thời gian không, có thể thay đổi quy tắc trong một đêm không. Các công cụ trên chuỗi và hệ thống nhãn gần đây bị chê là chậm trễ hoặc dễ gây hiểu lầm, tôi cũng hiểu, nên tôi quen chụp màn hình các trang quan trọng để lưu lại… Dù sao vài ngày nữa có thể đối chiếu xem ai đang nói xạo.