Cada informe, insignia y certificación publicados por inspect.software lleva el mismo aviso: los resultados son señales, no garantías. Esta página establece con precisión qué significa eso, porque la confianza en el registro depende de no afirmar nunca más de lo que la evidencia sustenta.
Qué afirma un resultado
Un índice de salud y sus métricas subyacentes reflejan la práctica públicamente visible: historial de commits y de versiones publicadas, distribución de contribuyentes, archivos comunitarios, configuración de CI y pruebas, estado de publicación en los registros y señales relevantes para la seguridad como las que mide el OpenSSF Scorecard. Cada afirmación es:
- Observable — derivada de datos públicos que cualquiera puede obtener.
- Reproducible — cada métrica reproduce sus entradas, y las fórmulas están publicadas en la metodología.
- Versionada — cada informe registra la versión de métricas bajo la que se produjo, de modo que un resultado puede volver a derivarse más tarde.
Qué no afirma un resultado
- No es una auditoría de código. No se realiza ninguna revisión línea a línea de corrección, rendimiento o vulnerabilidades. Un proyecto con un proceso ejemplar puede aun así publicar un defecto.
- No es una garantía de seguridad. La postura de seguridad mide la higiene de seguridad visible — no puede descartar una vulnerabilidad no descubierta ni una cuenta de mantenedor comprometida.
- No es un juicio sobre una persona o un país. La exposición a jurisdicciones de alto riesgo dirige evidencia de perfil definida por política hacia una revisión reforzada. No determina nacionalidad, fiabilidad, sanciones, permisos ni intención maliciosa.
- No es un aval. La inclusión en el registro público significa que un repositorio fue inspeccionado, no que inspect.software lo recomiende.
- No es una predicción. Un proyecto bien mantenido puede abandonarse el mes que viene. Las puntuaciones describen el presente observable y el pasado reciente.
Por qué esta frontera se mantiene estricta
El valor del registro proviene de su contención. Un registro que exagerara sus resultados sería manipulado por el marketing y descontado por los ingenieros; uno que declara exactamente lo que mide puede tomarse como referencia exactamente para eso. La misma contención aparece en las propias fórmulas: los datos ausentes se excluyen y los pesos se renormalizan — nunca se adivinan, nunca se cuentan en contra de un proyecto (véase el índice de salud).
Independencia
Los resultados publicados son independientes del pago. Las inspecciones gratuitas de interés público y las certificaciones de pago ejecutan la misma metodología versionada, y ninguna relación comercial — patrocinio, tarifas de certificación, alineamiento con proveedores — puede alterar un valor publicado. Cuando una inspección restringe intencionadamente la metodología, el informe lo indica de forma explícita (véase configuración de la inspección).