Кожен звіт, бейдж і сертифікація, опубліковані inspect.software, несуть те саме застереження: результати — це сигнали, а не гарантії. Ця сторінка точно визначає, що це означає, бо довіра до реєстру залежить від того, щоб ніколи не стверджувати більше, ніж підтверджують докази.
Що стверджує результат
Індекс здоров'я та метрики, що лежать в його основі, відображають публічно видиму практику: історію комітів і релізів, розподіл контриб'юторів, файли спільноти, конфігурацію CI та тестів, стан публікації в реєстрі пакетів і пов'язані з безпекою сигнали, як-от ті, що вимірює OpenSSF Scorecard. Кожне твердження є:
- Спостережуваним — виведеним з публічних даних, які будь-хто може отримати.
- Відтворюваним — кожна метрика відтворює свої вхідні дані, а формули опубліковані в методології.
- Версіонованим — кожен звіт фіксує версію метрик, за якою його створено, тож результат можна вивести заново пізніше.
Чого результат не стверджує
- Це не аудит коду. Порядкового перегляду коректності, продуктивності чи вразливостей не проводиться. Проєкт із взірцевим процесом усе одно може випустити дефект.
- Це не гарантія безпеки. Стан безпеки вимірює видиму гігієну безпеки — він не може виключити невиявлену вразливість чи скомпрометований обліковий запис мейнтейнера.
- Це не судження про людину чи країну. [Пов’язаність із юрисдикціями високого
ризику](/wiki/jurisdiction-exposure) спрямовує визначені політикою профільні дані на посилену перевірку. Вона не встановлює національність, надійність, санкції, права доступу чи зловмисні наміри.
- Це не рекомендація. Присутність у публічному реєстрі означає, що репозиторій було проінспектовано, а не що inspect.software його рекомендує.
- Це не прогноз. Добре супроводжуваний проєкт можуть покинути вже наступного місяця. Оцінки описують спостережуване теперішнє та нещодавнє минуле.
Чому ця межа тримається суворо
Цінність реєстру походить з його стриманості. Реєстр, що перебільшував би свої результати, обіграли б маркетологи та знецінили б інженери; реєстр, що точно каже, що саме він вимірює, може бути надійним саме в цьому. Та сама стриманість присутня в самих формулах: відсутні дані виключаються, а ваги перенормовуються — ніколи не вгадуються і ніколи не зараховуються проти проєкту (див. індекс здоров'я).
Незалежність
Опубліковані результати не залежать від оплати. Безоплатні сканування в суспільних інтересах і платні сертифікації виконують одну й ту саму версіоновану методологію, і жодні комерційні відносини — спонсорство, сертифікаційні внески, зв'язки з постачальниками — не можуть змінити опубліковане значення. Там, де сканування навмисно звужує методологію, звіт явно про це повідомляє (див. конфігурацію сканування).