📌 Ponto principal (TL;DR)
- Foi confirmado um caso em que as Stars em um repositório do GitHub de origem chinesa dispararam de 4.000 para 4.800 sem mudanças no código, nas releases ou na atividade
- Isso levantou dúvidas sobre a própria premissa de que “GitHub Star = popularidade/qualidade”
- Conclusão: a quantidade de GitHub Stars não é um indicador adequado para julgar a qualidade ou a confiabilidade de um projeto
📉 Principais argumentos & insights práticos
⭐ 1) Popularidade pode ser “fabricada” à vontade
- Resultado da análise dos logs de eventos do GitHub com base no StarScout:
- mais de 4,5 milhões de padrões suspeitos de Star
- destes, mais de 3,1 milhões foram classificados na prática como Stars falsas
- foi confirmada repetidamente a ocorrência de vários perfis dando Star ao mesmo tempo em janelas curtas
- Ou seja, em muitos casos, aumento de Stars ≠ aumento natural de interesse
Do ponto de vista prático:
adicionar uma dependência só porque “está bombando” hoje em dia é arriscado
💰 2) O “mercado de Stars” já existe
- GitHub Stars funcionam não apenas como expressão de interesse, mas como um ativo de marketing realmente negociado
- Estrutura observada:
- vendedores que comercializam Stars diretamente
- redes de troca de Stars usando pools de contas
- opções de impulsionamento de Stars incluídas em pacotes de divulgação de serviços
- Resultado:
- os indicadores de popularidade ficam estruturalmente distorcidos
- o ruído aumenta muito na avaliação de novos projetos e bibliotecas
Do ponto de vista prático:
ter muitas Stars não significa automaticamente que seja um “projeto validado”
🛡 3) Star não é um “indicador de confiança”
- A natureza da Star:
- ✔ indicador de visibilidade
- ❌ não é indicador de confiança
- Só pela quantidade de Stars não dá para avaliar:
- nível de segurança
- estado de manutenção
- qualidade do código / dívida técnica
- Problema ainda mais sério:
- existe a possibilidade de mascarar popularidade com Stars falsas e depois explorar isso em ataques à cadeia de suprimentos (Supply Chain Attack)
Do ponto de vista prático:
uma biblioteca com muitas Stars pode inclusive ser um risco
🔎 Checklist prático de confiança (5 minutos)
Em vez de olhar Stars, veja isto 👇
- Ritmo de atividade
- commits, issues e PRs são consistentes e naturais?
- Estado da documentação
- o README está em um nível realmente utilizável?
- instalação / exemplos / restrições estão claros?
- Higiene de engenharia
- há código de teste?
- existe configuração de CI/CD?
- Indicadores de adoção real
- número de downloads/pulls no PyPI / npm / Docker
- há sinais de uso em serviços reais?
- Postura de segurança
- OpenSSF Scorecard, política de segurança, histórico de resposta a vulnerabilidades
- Bus Factor
- o projeto depende demais de uma única pessoa?
Os itens acima são muito mais confiáveis do que o número de Stars
📊 Mensagem final (resumo prático)
- GitHub Stars são um sinal de interesse, não de confiança
- A quantidade de Stars pode ser manipulada com facilidade suficiente
- Ter muitas Stars pode, em alguns casos, ser até um sinal de alerta
- A confiança real vem de:
- atividade contínua
- práticas de segurança
- qualidade da documentação
- reação da comunidade
- estrutura de manutenção e operação
8 comentários
Como é fim de ano... fico pensando se GitHub Stars não era o KPI de alguém.
É um caso de atuação da Lei de Goodhart, mas, do ponto de vista de quem gerencia, não há nada tão conveniente quanto administrar por números...
Em uma plataforma como o GitHub, as estrelas provavelmente têm um peso considerável. O GitHub não se interessa por detectar abusos? Até no GeekNews isso é sinalizado imediatamente.
Mesmo ao meu redor e nas redes sociais, rola bastante esse esquema de trocar favores para pedir estrelas.
Mesmo quando um repositório pessoal passa de cem estrelas, fico pensando se isso realmente tem algum significado.
Star é um sinal de interesse, né? Algo como ter interesse naquele repositório e querer receber as atualizações...?
Do ponto de vista de quem desenvolve, como o interesse é algo muito valioso, acho que existe uma tendência de dar mais importância a isso.
Para desenvolvedores como eu, até conseguir uma estrela já é difícil... 😢
Até no GeekNews tem gente manipulando curtidas ;_; esse tipo de abuso é bem complicado mesmo
https://namu.wiki/w/…
Se até a SK faz manipulação...