Paquetes abandonados y mantenedores únicos

La categoría de fallos de la cadena de suministro del OWASP Top 10 de 2025 (A03) no se limita a los componentes con vulnerabilidades conocidas: incluye también los que ya no tienen soporte o no se mantienen. La razón es práctica. Un paquete abandonado no tiene hoy ningún aviso, pero el día que alguien encuentre un fallo nadie publicará la corrección, y el equipo tendrá que sustituirlo con prisa, parchearlo por su cuenta o convivir con él.

Las señales se leen en el registro y en el repositorio: la fecha del último lanzamiento, si el repositorio está archivado, si el registro marca el paquete como obsoleto (el aviso que el gestor muestra al instalar) y quién puede publicar. Ninguna señal sola decide. Un paquete muy pequeño que hace una cosa y la hace bien puede pasar años sin publicar y estar perfectamente vivo; por eso las políticas serias combinan condiciones.

Abre el laboratorio y lee encargo.txt y politica-salud.txt. La política de Uvito exige dos condiciones a la vez. Recorre salud-dependencias.txt línea por línea con la fecha de la revisión y apóyate en avisos-de-obsolescencia.txt. Dos paquetes parecen abandonados a primera vista y no cumplen la definición: uno por su fecha y otro por su repositorio.

Cuando un paquete depende de una sola persona con permiso de publicar, todo el ecosistema que lo usa confía en esa cuenta: en su contraseña, en su segundo factor y en su criterio. Un cambio de mantenedor no es malo en sí mismo (muchos proyectos sobreviven así), pero es el momento en el que la confianza pasa a alguien a quien nadie conoce todavía. Por eso la política de Uvito pide mirar con lupa la primera versión que publica la persona nueva. Lee cambios-de-mantenedor.txt y usos.txt.

La regla S4 de la política no prohíbe actualizar: pide que la primera versión de la persona nueva se compare con la anterior antes de adoptarla. Esa comparación es concreta: qué archivos cambian, si aparecen scripts de instalación nuevos, si se añaden dependencias o conexiones a sitios que antes no estaban.

De las dependencias abandonadas, una pinta los comprobantes de caja y el cierre diario. Sustituir un motor de plantillas no es trivial, pero dejarlo tal cual tampoco es una decisión: es una apuesta sin fecha. La política de Uvito pide dos cosas a la vez, y conviene que el plan las nombre.