Últimamente, al revisar proyectos, sigo la "trilogía del café": GitHub, informes de auditoría, actualización de firmas múltiples.

No me importa cuántas líneas hayas escrito en GitHub, lo principal es si hay alguien trabajando continuamente, si las issues/PRs reciben respuestas serias, si los problemas se arreglan rápido;
ese tipo de actividad que en una semana se anima dos días y el resto solo dice "la próxima vez", primero la dejo enfriar.
Los informes de auditoría tampoco solo deben fijarse en el logo, revisa si los problemas graves realmente se corrigieron, si después de corregir se hizo una segunda verificación,
muchos informes en realidad solo dicen "en esa versión todavía estaba bien".
La actualización de firmas múltiples es aún más importante: si puedes ver quién está firmando a tiempo, cuántas llaves hay, si hay retrasos o salidas de emergencia,
no te despiertes un día y descubras que el contrato cambió y yo todavía estoy soñando con ser LP.
Aprovecho para quejarme, últimamente el sistema de etiquetas de las herramientas de datos en cadena ha sido criticado por su retraso, lo entiendo bastante…
De todos modos, ahora tomo las etiquetas como referencia, no como la verdad absoluta.
Sí, todavía creo en ello: en un equipo que se tome en serio la seguridad y la transparencia, al final valdrá un poquito más.