Pruebas como red de seguridad

Un PR de dependencias dispara la integración continua. Si todas las pruebas pasan, el resultado es verde. Pero verde solo significa que ninguna prueba que existe detectó un problema. Si el código que usa el paquete actualizado no tiene pruebas, el verde no prueba nada sobre él: es ausencia de evidencia, no evidencia de ausencia.

La medida que lo expone es la cobertura del módulo que usa el paquete: qué fracción de sus líneas ejecuta alguna prueba. No garantiza calidad, pero una cobertura cercana a cero garantiza ceguera.

Abre las ejecuciones y el mapa de módulos. Cada PR toca un paquete que usa un módulo concreto; la columna de cobertura dice cuánto de ese módulo ejecutaron las pruebas. Hay un PR en verde cuyo módulo tiene la cobertura mínima posible.

Fija un umbral razonable: por debajo del 30 % de cobertura en el módulo afectado, el verde se considera poco informativo. Cuenta los PR que pasaron sin fallos pero quedan bajo ese umbral. Un PR con una prueba fallida no cuenta: ese ya dio una señal clara.

Uno de los PR falla, y esa es la red haciendo su trabajo: una prueba detectó que el comportamiento cambió con la versión nueva. Lo importante es leer el fallo con calma, porque la causa puede estar en el paquete, en una prueba mal escrita o en un supuesto del propio código. El registro de la ejecución dice cuál prueba falló y qué esperaba.

El borrador de política dice que se fusiona sola toda actualización con pruebas en verde. Ya viste por qué esa frase es insuficiente. Una regla prudente combina el tipo de cambio, la evidencia de pruebas y un límite sobre lo que nunca se automatiza.