📌 Ponto principal (TL;DR)
- Foi confirmado um caso em que as Stars em um repositório do GitHub de origem chinesa dispararam de 4.000 para 4.800 sem mudanças no código, nas releases ou na atividade
- Isso levantou dúvidas sobre a própria premissa de que “GitHub Star = popularidade/qualidade”
- Conclusão: a quantidade de GitHub Stars não é um indicador adequado para julgar a qualidade ou a confiabilidade de um projeto
📉 Principais argumentos & insights práticos
⭐ 1) Popularidade pode ser “fabricada” à vontade
- Resultado da análise dos logs de eventos do GitHub com base no StarScout:
- mais de 4,5 milhões de padrões suspeitos de Star
- destes, mais de 3,1 milhões foram classificados na prática como Stars falsas
- foi confirmada repetidamente a ocorrência de vários perfis dando Star ao mesmo tempo em janelas curtas
- Ou seja, em muitos casos, aumento de Stars ≠ aumento natural de interesse
Do ponto de vista prático:
adicionar uma dependência só porque “está bombando” hoje em dia é arriscado
💰 2) O “mercado de Stars” já existe
- GitHub Stars funcionam não apenas como expressão de interesse, mas como um ativo de marketing realmente negociado
- Estrutura observada:
- vendedores que comercializam Stars diretamente
- redes de troca de Stars usando pools de contas
- opções de impulsionamento de Stars incluídas em pacotes de divulgação de serviços
- Resultado:
- os indicadores de popularidade ficam estruturalmente distorcidos
- o ruído aumenta muito na avaliação de novos projetos e bibliotecas
Do ponto de vista prático:
ter muitas Stars não significa automaticamente que seja um “projeto validado”
🛡 3) Star não é um “indicador de confiança”
- A natureza da Star:
- ✔ indicador de visibilidade
- ❌ não é indicador de confiança
- Só pela quantidade de Stars não dá para avaliar:
- nível de segurança
- estado de manutenção
- qualidade do código / dívida técnica
- Problema ainda mais sério:
- existe a possibilidade de mascarar popularidade com Stars falsas e depois explorar isso em ataques à cadeia de suprimentos (Supply Chain Attack)
Do ponto de vista prático:
uma biblioteca com muitas Stars pode inclusive ser um risco
🔎 Checklist prático de confiança (5 minutos)
Em vez de olhar Stars, veja isto 👇
- Ritmo de atividade
- commits, issues e PRs são consistentes e naturais?
- Estado da documentação
- o README está em um nível realmente utilizável?
- instalação / exemplos / restrições estão claros?
- Higiene de engenharia
- há código de teste?
- existe configuração de CI/CD?
- Indicadores de adoção real
- número de downloads/pulls no PyPI / npm / Docker
- há sinais de uso em serviços reais?
- Postura de segurança
- OpenSSF Scorecard, política de segurança, histórico de resposta a vulnerabilidades
- Bus Factor
- o projeto depende demais de uma única pessoa?
Os itens acima são muito mais confiáveis do que o número de Stars
📊 Mensagem final (resumo prático)
- GitHub Stars são um sinal de interesse, não de confiança
- A quantidade de Stars pode ser manipulada com facilidade suficiente
- Ter muitas Stars pode, em alguns casos, ser até um sinal de alerta
- A confiança real vem de:
- atividade contínua
- práticas de segurança
- qualidade da documentação
- reação da comunidade
- estrutura de manutenção e operação
8 comentários
Star é um sinal de interesse, né? Algo como ter interesse naquele repositório e querer receber as atualizações...?
Do ponto de vista de quem desenvolve, como o interesse é algo muito valioso, acho que existe uma tendência de dar mais importância a isso.
Para desenvolvedores como eu, até conseguir uma estrela já é difícil... 😢
Até no GeekNews tem gente manipulando curtidas ;_; esse tipo de abuso é bem complicado mesmo
https://namu.wiki/w/…
Se até a SK faz manipulação...
Como é fim de ano... fico pensando se GitHub Stars não era o KPI de alguém.
É um caso de atuação da Lei de Goodhart, mas, do ponto de vista de quem gerencia, não há nada tão conveniente quanto administrar por números...
Em uma plataforma como o GitHub, as estrelas provavelmente têm um peso considerável. O GitHub não se interessa por detectar abusos? Até no GeekNews isso é sinalizado imediatamente.
Mesmo ao meu redor e nas redes sociais, rola bastante esse esquema de trocar favores para pedir estrelas.
Mesmo quando um repositório pessoal passa de cem estrelas, fico pensando se isso realmente tem algum significado.