Políticas de adopción de componentes

El periodo de espera (por ejemplo, 14 días desde la publicación) no verifica nada por sí solo. Su valor es el tiempo: las versiones nuevas son las que menos ojos han revisado, y un problema suele detectarse y comunicarse en los primeros días. Esperar deja que otros lo vean antes que tú. Un parche de seguridad verificado es la excepción, y se documenta como tal.

Un componente con un único mantenedor depende de una sola cuenta: si falla, se pierde o es presionada, no hay quien revise. Por eso la regla A exige al menos dos con permiso de publicar.

Abre politica-de-adopcion.txt y candidatos.csv.

Un candidato se aprueba solo si cumple las cinco reglas a la vez: A (mantenedores), B (14 días o más), C (firma), D (comparable con el repositorio) y E (SBOM publicado). Basta una falla para que no pase tal cual.

Aplica las cinco reglas a los siete candidatos de candidatos.csv.

A veces un componente que no cumple es el único que sirve. La política lo prevé: una excepción con dueño, fecha de caducidad y un control compensatorio (por ejemplo, vigilar sus publicaciones y fijar la versión). Sin esos tres elementos, la excepción es un permiso sin límite.