Inicio / Guía
Cómo revisar un repo de GitHub antes de instalarlo.
Siete pasos para saber si un repo te sirve y es razonable probarlo. Es el mismo orden que sigo antes de que un repo salga en un video.
Los 7 pasos.
- Mira la licencia.Busca el archivo LICENSE. MIT, Apache-2.0 o GPL dejan usar el código con reglas distintas; si no hay licencia, el autor se reserva todos los derechos y no tienes permiso claro para usarlo. Qué pasa sin licencia.
- Comprueba si sigue vivo.Fíjate en el aviso «archived», en la fecha del último commit, en los issues abiertos y en las versiones publicadas. Un repo abandonado no recibe correcciones de seguridad. Qué es un repo archivado.
- Lee el README completo.Sobre todo los requisitos, las advertencias y los problemas conocidos. Si el README no dice qué instala o qué necesita, es una mala señal.
- Mira qué se va a instalar.Revisa las dependencias y los scripts de instalación. Desconfía de comandos tipo «curl … | bash» que vienen de un dominio que no es el oficial.
- Averigua quién lo mantiene.Una persona u organización con historial, varios colaboradores y versiones publicadas inspira más confianza que una cuenta recién creada. OpenSSF Scorecard automatiza varias de estas comprobaciones. OpenSSF Scorecard.
- Pruébalo aislado.Usa una máquina virtual, un contenedor o un usuario sin permisos, y nunca con tus llaves ni tus datos reales. Si funciona, entonces lo llevas a tu equipo. Seguridad en Docker.
- Pide una segunda lectura.Puedes pedirle a un agente de IA que te explique qué hace un script antes de ejecutarlo. Es una ayuda, no un veredicto.
Señales de alerta.
- No tiene licencia, o la licencia no coincide con lo que dice el README.
- Está archivado y no explica qué usar en su lugar.
- El instalador baja y ejecuta cosas de un sitio que no es el oficial.
- Pide permisos o accesos que no necesita para lo que hace.
- Su nombre se parece mucho al de un repo famoso, pero la cuenta es otra.
Una señal sola no condena a un repo, pero varias juntas son motivo para no instalarlo. Así es como funcionan la ficha y las reglas del canal.
Un ejemplo: revisamos scrcpy.
Aplicamos los pasos a scrcpy: licencia Apache-2.0, repo oficial en github.com/Genymobile/scrcpy, requisitos y límites tomados de su documentación. La ficha completa muestra de dónde sale cada dato y la fecha de revisión (2026-10-29).
Preguntas frecuentes.
- ¿Un repo con muchas estrellas es seguro?No necesariamente. Las estrellas miden popularidad, no calidad ni seguridad. Mira la licencia, la actividad reciente y qué instala.
- ¿Qué pasa si un repo no tiene licencia?Por defecto, el autor se reserva todos los derechos: puedes verlo, pero no tienes permiso claro para usarlo o modificarlo. Pregúntale al autor o busca otra opción.
- ¿Qué significa que un repo esté archivado?Que su autor lo dejó en solo lectura: ya no recibe cambios ni correcciones de seguridad. Sirve para aprender, no para depender de él.
- ¿Puedo pedirle a una IA que revise el repo?Sí, para que te explique qué hace un script o qué instala. Es una ayuda, no un veredicto: la decisión sigue siendo tuya. Qué agentes existen.
Esta guía es orientativa y no garantiza que un repo sea seguro. Actualizada el 29 de octubre de 2026.