El índice de salud

Cada repositorio del registro público lleva un índice de salud: un único número entero entre 1 y 100 que resume la práctica públicamente visible de ingeniería, mantenimiento, seguridad y gobernanza. El índice existe para que una biblioteca pueda compararse con sus alternativas de un vistazo — pero es la cúspide de una jerarquía plenamente transparente, nunca una caja negra.

La jerarquía de tres niveles

El índice se agrega a través de tres niveles documentados:

1. Componentes — hechos observables individuales (existe un archivo de licencia, la última versión se publicó hace 40 días, el factor bus es 3). Cada componente tiene un peso fijo dentro de su métrica.
2. Métricas — sumas ponderadas de componentes, cada una un entero en 1–100. Ejemplos: actividad de desarrollo, resiliencia de mantenedores, postura de seguridad.
3. Categorías — medias ponderadas de sus métricas, también en 1–100. Las seis categorías ponderadas son Vitalidad, Comunidad y Adopción, Sostenibilidad y Gobernanza, Calidad de Ingeniería, Seguridad y — con un peso deliberadamente pequeño — Preparación para IA.

El índice de salud general parte de la media ponderada de las categorías disponibles:

El peso efectivo de una métrica en el índice general es peso de la categoría × peso dentro de la categoría. Cada informe muestra esta cifra en la tarjeta de cada métrica, y cada valor publicado se asigna a una de las siete bandas de calificación.

Calibración con el registro público

La media ponderada se calibra después sobre la escala publicada del índice mediante una curva monótona fija anclada a la distribución empírica del registro público. La calibración es lo que da a las bandas su significado percentil — Excepcional es genuinamente el nivel más alto del registro — y permite que el índice utilice todo el rango 1–100 en lugar de apiñar la mitad del registro en veinte puntos de él. La curva se satura en la parte alta: una media ponderada bruta de 91 o más se publica como 100, que es también la razón por la que un repositorio sin señales de Preparación para IA (el 4% del peso bruto) puede alcanzar igualmente 100/100. La media ponderada bruta sigue visible en el overall.inputs.weighted_overall_raw de cada informe, de modo que la aritmética sigue siendo plenamente auditable. Los valores de categorías y métricas se publican sin calibrar — la curva describe, y está ajustada a, únicamente el índice general.

Las señales de alerta ponen techo al índice

Cuatro políticas quedan fuera de la media ponderada. Ninguna de ellas premia un resultado limpio — un repositorio sin hallazgos simplemente conserva su índice calibrado — pero un hallazgo confirmado multiplica el valor publicado y, en los casos más graves, lo mantiene por debajo de un techo declarado:

Desde la metodología v1.13.0 las políticas no se acumulan. Gobierna sola la más estricta que se active, y las demás se informan sin volver a mover el valor: un multiplicador expresa la gravedad de un hallazgo, y un valor multiplicado dos veces es una cifra que ninguna política eligió y ninguna puede explicar. Los repositorios cuya evidencia no permite responder a la pregunta de una política figuran como no verificados y nunca son penalizados por esa carencia.

Los datos ausentes nunca son un cero

Si los datos subyacentes de un componente no están disponibles — un registro no publica cifras de descargas, la lista de contribuyentes no puede muestrearse — el componente se excluye y los pesos restantes se renormalizan. La misma regla se aplica un nivel más arriba: una métrica sin datos pasa a ser null y su categoría redistribuye el peso; una categoría sin ninguna métrica calculable se elimina del índice general.

Esta regla es central para la equidad. Un proyecto se mide solo por lo que realmente puede observarse, y la ausencia de evidencia se comunica como ausencia — el campo note de la métrica registra cada renormalización, de modo que el lector siempre sabe qué se midió y qué no.

Cómo leer un informe

• Leer el perfil, no solo el número. Un 74 construido sobre categorías equilibradas es una propuesta distinta de un 74 que enmascara un valor de Seguridad de 25. El gráfico de radar del informe hace visibles de inmediato los perfiles de picos y cráteres.
• Comprobar las bandas. Los valores se asignan a siete bandas estandarizadas, de exceptional a critical; los umbrales de las bandas forman parte de la metodología versionada.
• Recalcular cualquier cosa. Cada métrica reproduce sus entradas y los puntos de cada componente en el informe, de modo que cualquier valor publicado puede verificarse a mano a partir de la sección data del informe JSON.
• Leer los candidatos unos contra otros. Un índice solo tiene sentido junto a las alternativas realmente consideradas. La vista de comparación sitúa hasta seis registros sobre un mismo conjunto de ejes — perfil por categorías, trayectoria de crecimiento y cada cifra subyacente — de modo que la distancia entre ellos sea visible en lugar de inferida.

Versionado

Las fórmulas, los pesos y los umbrales de las bandas se versionan en conjunto. Cualquier cambio incrementa la versión de métricas registrada en cada informe, y el historial completo es público — véase versiones de la metodología. Partes de la metodología pueden desactivarse por cada inspección; el informe documenta entonces exactamente qué se desactivó — véase configuración de la inspección.

Relacionado: bandas de calificación · niveles de certificación · clasificación del software · señales, no garantías · versiones de la metodología