Я, як новачок, дивлюся на проєкт «надійний чи ні», зараз не звертаю уваги на ту купу грандіозних оповідей, спершу перевірю три речі: GitHub, звіт про аудит, оновлення мультипідпису. GitHub не дивлюся на кількість зірок… головне — чи є останнім часом активність, чи це один-два люди закрили двері і щось змінюють, чи хтось слідкує за проблемами. Звіт про аудит також не слід вважати оберегом, важливо дивитись, чи чітко він прописав межі: що перевірили, що не перевірили, як вирішують відомі ризики, інакше це все одно що проходити медогляд, де перевірили тільки тиск і сказали, що все інше — здорове.

Оновлення мультипідпису я сприймаю як ситуацію «хто тримає ключі від дому»: скільки ключів, хто їх тримає, чи можна тимчасово додати людину або змінити замок, чи є час, щоб усі могли відреагувати. Останнім часом мені більше подобається дивитись, чи не накопичуються права на низькому рівні, наприклад, через залучення/спільне використання безпеки, що викликає критику через «накопичення»… я навіть більше хочу побачити, чи не накопичуються й права на нижчому рівні… В будь-якому разі я залишаюся старим добрим собою: розподіляю невеликі позиції по шарах, спостерігаю повільно, не дозволяю одній сторінці PPT вести мене за собою.