Dependencias y la confianza en terceros

La mayoría de los gestores de paquetes admiten un archivo de bloqueo que registra la versión exacta de cada dependencia, y a menudo una huella de su contenido. Sin él, dos construcciones del mismo código en días distintos pueden traer versiones distintas de un paquete, y una construcción que funcionaba ayer puede romperse o cambiar de comportamiento hoy sin que nadie haya tocado el código.

El archivo de bloqueo no dice que la dependencia sea buena. Dice que la que se probó es la que se usa.

La salud de un paquete es parte de su riesgo. Uno con un solo mantenedor y muchos meses sin cambios es un punto único de fallo: si esa persona se va, nadie corregirá sus fallos. Si otra persona se hace con el control, nadie lo notará. No hace falta que ocurra nada malo para que sea un riesgo de diseño que merezca un dueño.

Consulta las dependencias y busca el paquete con un solo mantenedor y más de dos años sin cambios.

Cuando una empresa tiene paquetes internos, sus nombres son un espacio compartido con el resto del mundo si la configuración busca primero o también en una fuente pública. Si existe en la fuente pública un paquete con el mismo nombre que uno interno, el gestor puede elegir el equivocado según cómo esté ordenada la búsqueda. Es un fallo de diseño de la resolución, que se cierra acotando cada nombre a la fuente que le corresponde.

Consulta la tabla de resolución de fuentes y busca el paquete interno cuyo nombre ya está publicado en la fuente pública.

El impacto de una dependencia no está en el paquete sino en quién la usa. Un paquete abandonado que usa un solo servicio es un problema de ese equipo. Uno que usan varios servicios es un problema de la plataforma, y la decisión de qué hacer con él le corresponde a quien ve el conjunto.

Cuenta cuántos servicios dependen del paquete que acabas de encontrar sin mantenimiento.

Muchas empresas piden que el resumen de un riesgo se escriba en inglés para el equipo regional. La buena redacción es breve, dice el hecho, el efecto y la medida, sin adjetivos. Elige el resumen que un director de plataforma podría leer en diez segundos y entender qué se le pide.