From f5b07a63d7cfb4c618eb2d4e4569593c9008d6f2 Mon Sep 17 00:00:00 2001 From: Miccy Date: Sun, 23 Aug 2026 03:10:18 +0200 Subject: [PATCH] =?UTF-8?q?=F0=9F=93=9D=20docs:=20write=20down=20the=20ver?= =?UTF-8?q?sioning=20rule,=20and=20restyle=20the=20footer?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit Without this written down, the next person to add a package to the trusted list ships it as a patch, because one line looks like a small change. It is not: it decides that something now merges without anyone looking. There is no API here to version, so the number tracks the only thing a consumer gets from this preset -- what merges unattended. Tightening is minor, loosening is major, even when the diff is the same size. A pin is a promise that the posture will not shift underneath someone. Also states that main is what an unpinned reference resolves to, so tags are for pinned consumers and merges do not each need one. Footer replaced with badges, monochrome. The supplied markup had a mangled href on the ownctrl badge -- a markdown link pasted inside an HTML attribute, leaving `[https://github.com/](...)ownctrl` -- pointed at github.com/ownctrl. --- README-cs.md | 34 ++++++++++++++++++++++++++++++++++ README.md | 33 +++++++++++++++++++++++++++++++-- 2 files changed, 65 insertions(+), 2 deletions(-) diff --git a/README-cs.md b/README-cs.md index cdd524b..ece7d55 100644 --- a/README-cs.md +++ b/README-cs.md @@ -171,7 +171,41 @@ Dědění je levnější: Fork znamená opravit každou bezpečnostní vadu tolikrát, kolik máš kopií. +## Verzování + +`main` je to, co dostane každý, kdo si nepinnul `github>ownctrl/supply-chain` — +ten má každý merge okamžitě. Tagy jsou pro ty, kdo pinnuli. Mergovat můžeš, jak +často chceš; tag řež, až má pinnutý konzument důvod se pohnout. + +Není tu žádné API k verzování. Konzument z presetu dostává jedinou věc — +**co se sloučí, aniž se na to podívá** — a to je to, co číslo sleduje. + +| | Význam | Příklad | +| --- | --- | --- | +| **MAJOR** | něco se nově slučuje samo, co dřív čekalo, nebo přestane fungovat existující config | přidání balíčku mezi důvěryhodné; přejmenování sub-presetu | +| **MINOR** | nové pokrytí, které nic neuvolňuje | nový ekosystém, nový sub-preset, další balíčky na watch listu | +| **PATCH** | o slučování se nemění nic | dokumentace, text v PR, náš vlastní pin nástrojů | + +Ta asymetrie je záměrná. **Utažení je minor, uvolnění je major**, i když je diff +stejně velký. Když něco přestane automergovat, nejhorší následek je pár kliků +navíc. Když něco začne automergovat, obešel jsi důvod, proč si ten člověk pin +dal — pin je příslib, že se posture nezmění pod rukama. + +Takže přidat jeden balíček mezi důvěryhodné je major, i kdyby to byl jeden +řádek. + ## Odkazy - 🔒 [Socket.dev](https://socket.dev) — skenování supply chain - 📊 [Datadog IOC](https://github.com/DataDog/indicators-of-compromise/tree/main/shai-hulud-2.0) — oficiální IOC seznam + +
+ Scroll Top +
+ +--- + +
+ Maintained by @miccy + © 2026 ownCTRL™ +
diff --git a/README.md b/README.md index 87f7588..3132e0f 100644 --- a/README.md +++ b/README.md @@ -309,14 +309,43 @@ The full list lives in [`default.json`](./default.json). Affected version ranges --- +## Versioning + +`main` is what an unpinned `github>ownctrl/supply-chain` resolves to, so every +merge reaches those consumers immediately. Tags exist for the people who pinned. +Merge as often as you like; cut a tag when a pinned consumer has a reason to +move. + +There is no API here to version. What a consumer gets from this preset is one +thing — **what merges without them looking** — so that is what the number +tracks. + +| | Meaning | Example | +| --- | --- | --- | +| **MAJOR** | something now merges unattended that did not before, or an existing config breaks | adding a package to the trusted list; renaming a sub-preset | +| **MINOR** | new coverage that loosens nothing | a new ecosystem group, a new sub-preset, more packages on the watch list | +| **PATCH** | nothing about what merges changes | documentation, PR body text, our own pinned tooling | + +The asymmetry is deliberate. **Tightening is minor, loosening is major**, even +when the diff is the same size. If something stops automerging, the worst case +is a few more clicks. If something starts automerging, you have gone around the +reason someone pinned in the first place — a pin is a promise that the posture +will not shift underneath them. + +So adding one package to the trusted list is a major, one line or not. + ## Related Resources - 🔒 [Socket.dev](https://socket.dev) — Supply chain security scanning - 📊 [Datadog IOCs](https://github.com/DataDog/indicators-of-compromise/tree/main/shai-hulud-2.0) — Official IOC list +
+ Scroll Top +
+ ---
-

Maintained by ownctrl

-

© 2025–2026 Miccy · MIT

+ Maintained by @miccy + © 2026 ownCTRL™