📌 Puntos clave (TL;DR)
- Se confirmó un caso en un repositorio de GitHub de origen chino donde las estrellas subieron bruscamente de 4,000 a 4,800 sin cambios en el código, los lanzamientos ni la actividad
- A partir de esto, se cuestiona la premisa misma de que “GitHub Star = popularidad/calidad”
- Conclusión: la cantidad de estrellas en GitHub no es un indicador adecuado para juzgar la calidad o confiabilidad de un proyecto
📉 Principales argumentos e insights prácticos
⭐ 1) La popularidad se puede ‘fabricar’
- Resultado del análisis de logs de eventos de GitHub basado en StarScout:
- más de 4.5 millones de patrones de estrellas sospechosos
- de ellos, más de 3.1 millones fueron clasificados prácticamente como estrellas falsas
- se confirmó repetidamente un patrón en el que múltiples cuentas marcaban estrella de forma simultánea en un corto periodo de tiempo
- Es decir, en muchos casos el aumento de estrellas ≠ aumento orgánico del interés
Perspectiva práctica:
Es riesgoso agregar una dependencia solo porque “últimamente está de moda”
💰 2) El ‘mercado de estrellas’ ya existe
- Las estrellas de GitHub funcionan no solo como una simple expresión de interés, sino como un activo de marketing que realmente se comercia
- Estructura observada:
- proveedores que venden estrellas directamente
- redes de intercambio de estrellas que usan pools de cuentas
- opciones de impulso de estrellas incluidas en paquetes de promoción de servicios
- Resultado:
- los indicadores de popularidad se distorsionan estructuralmente
- aumenta el ruido al evaluar proyectos o librerías nuevas
Perspectiva práctica:
No se debe asumir que un proyecto con muchas estrellas es automáticamente “un proyecto validado”
🛡 3) Las estrellas no son un ‘indicador de confianza’
- La naturaleza de las estrellas:
- ✔ indicador de visibilidad
- ❌ no es un indicador de confianza
- Solo con la cantidad de estrellas no se puede evaluar lo siguiente:
- nivel de seguridad
- estado de mantenimiento
- calidad del código / deuda técnica
- Un problema aún más serio:
- existe la posibilidad de que una popularidad disfrazada con estrellas falsas se use luego para ataques a la cadena de suministro (Supply Chain Attack)
Perspectiva práctica:
Una librería con muchas estrellas incluso podría ser un riesgo
🔎 Checklist práctico de confianza (5 minutos)
En lugar de las estrellas, revisa esto 👇
- Ritmo de actividad
- ¿los commits, issues y PR son constantes y naturales?
- Estado de la documentación
- ¿el README está realmente en un nivel utilizable?
- ¿la instalación / ejemplos / restricciones están claros?
- Higiene de ingeniería
- si existe código de pruebas
- si hay configuración de CI/CD
- Indicadores de adopción real
- cantidad de descargas en PyPI / npm / pulls de Docker
- señales de uso en servicios reales
- Postura de seguridad
- OpenSSF Scorecard, política de seguridad, historial de respuesta a vulnerabilidades
- Bus Factor
- ¿no depende en exceso de una sola persona?
Los elementos anteriores son mucho más confiables que la cantidad de estrellas
📊 Mensaje final (resumen práctico)
- Las estrellas de GitHub son una señal de interés, no una señal de confianza
- La cantidad de estrellas se puede manipular suficientemente
- Tener muchas estrellas puede, según el caso, ser incluso una señal de advertencia
- La confianza real viene de lo siguiente:
- actividad sostenida
- prácticas de seguridad
- calidad de la documentación
- respuesta de la comunidad
- estructura de mantenimiento y operación
8 comentarios
Las stars son una señal de interés, algo así como decir que te interesa ese repositorio y que vas a recibir sus eventos...?
Desde la perspectiva de los desarrolladores, como el interés es algo "muy" valioso, creo que tienden a darle más importancia.
Para desarrolladores como yo, hasta conseguir una sola estrella es difícil 😢
Incluso en GeekNews hay gente que manipula los likes T_T, la manipulación de verdad es muy complicada.
https://namu.wiki/w/…
Si hasta SK llega al punto de hacer abuso...
Como es fin de año... me hace pensar si los GitHub Stars no habrán sido el KPI de alguien.
Es un caso donde opera la ley de Goodhart, pero desde la perspectiva de gestión no hay nada tan cómodo como administrar con números...
Parece que las estrellas tienen un peso nada menor en la plataforma GitHub; ¿acaso GitHub no tiene interés en la detección de abuso? Hasta en GeekNews te marcan de inmediato.
Incluso entre conocidos y en redes sociales se ve mucho eso de ayudarse mutuamente pidiendo estrellas. En repos personales que tengan más de cien, me pregunto si realmente tienen algún significado.