Gần đây thấy các dự án thường xuyên gửi kèm liên kết GitHub + báo cáo kiểm toán rồi nói “rất an toàn”, tôi lại càng cảm thấy lo lắng hơn… Người mới thật sự muốn xem độ tin cậy, tôi nghĩ trước tiên đừng chỉ nhìn vào mã nguồn đẹp đẽ, hãy xem “ai có thể tác động vào nó”: nâng cấp có phải là đa chữ ký, có mấy chìa khóa, ngưỡng bao nhiêu/bao nhiêu, người ký có phân tán không (đừng toàn là người trong nhóm), có khóa thời gian không, ít nhất cũng cho bạn thời gian phản ứng. Báo cáo kiểm toán đừng chỉ nhìn vào logo bìa, lật vài trang xem vấn đề nguy hiểm có thực sự đã được sửa chưa, là “đã xác nhận” hay “chúng tôi không đồng ý”, và phiên bản kiểm toán có phải là một với hiện tại triển khai không. GitHub cũng vậy, xem các thay đổi quan trọng có dấu vết review không, commit có đột nhiên thành một đống lớn không… Dĩ nhiên, nói trắng ra thì những điều này cũng chỉ có thể giảm thiểu xác suất, gặp phải tình trạng theo đà giá theo chỉ số đô la một lúc cùng tăng cùng giảm, tôi còn thích coi vị thế của mình như “cái công tắc có thể nâng cấp bất cứ lúc nào”, cứ vậy đã.