El código que corre, el que puedes leer y que alguien lo haya revisado son tres cosas distintas. Cuál puedes comprobar tú sin programar.
🎯 Objetivo de la lección
Separar tres cosas que se confunden todo el tiempo: el código que se ejecuta, el código que puedes leer y que alguien lo haya revisado. Son independientes, y de las tres hay una que puedes comprobar tú sin saber programar.
🧱 Lo que hay realmente en esa dirección
Cuando alguien publica un contrato, lo que queda en el registro no es el texto que escribió. Es el resultado de traducirlo a instrucciones que entiende la máquina virtual: una tira de datos ilegible para una persona.
Eso es lo único que la red ejecuta. La red no ha visto nunca el texto original y no lo necesita.
El texto legible, si existe, está en otro sitio: en un repositorio, en una web, en un explorador. Fuera del registro. Y ahí está el hueco de la lección: lo que tú lees y lo que se ejecuta llegaron por caminos distintos, y nada garantiza por sí mismo que se correspondan.
🔗 Qué significa «código verificado»
Hay una comprobación que cierra ese hueco, y es la que merece la pena buscar.
Consiste en traducir otra vez el texto publicado y comparar el resultado con lo que hay en el registro. Si coincide, el texto legible es el que se ejecuta. Si no coincide, el texto no describe lo que hay ahí.
Dos cosas importantes sobre esa comprobación:
No la hace el protocolo. La hacen servicios de consulta, fuera de la red. Así que te fías de que ese servicio la hizo bien.
Pero cualquiera puede repetirla. Y eso la distingue de una promesa: es una comprobación reproducible, no una declaración.
De ahí salen tres situaciones distintas, y conviene saber en cuál estás:
No hay texto publicado. Solo la tira de datos. Nadie de fuera puede saber qué hace sin un trabajo considerable. Para cualquier uso corriente, es una caja cerrada.
Hay texto publicado, pero no verificado. Es lo peor de los tres, porque parece transparencia. El texto puede ser una versión anterior, una versión parecida o algo que no tiene nada que ver.
Hay texto publicado y verificado. Lo que lees es lo que se ejecuta.
La tercera no significa que sea bueno. Significa que es legible. Que ya es bastante más de lo que parece.
🔍 Qué es una auditoría, y qué no
La otra palabra que se usa como sello de calidad. Vale la pena desmontarla, sin desdén: una revisión seria hecha por gente competente es valiosa, y no tenerla es peor.
Lo que es: unas personas leyeron una versión concreta del código durante un tiempo concreto, buscando ciertos tipos de fallo, y publicaron lo que encontraron. Eso es todo, y es mucho.
Lo que no es:
No es una garantía de que no haya fallos. Nadie puede demostrar eso. Se ha auditado código que después falló.
No cubre el código que se ejecuta hoy, necesariamente. Cubre la versión que revisaron. Si el contrato se puede cambiar —la lección siguiente—, lo que corre ahora puede no ser lo auditado.
No es una responsabilidad. Quien audita no responde de tus pérdidas; su informe suele decirlo explícitamente.
No cubre lo que quedó fuera del alcance. Y lo que queda fuera suele ser lo interesante: los oráculos, los permisos de administración, lo que pasa cuando el contrato llama a otro que no auditaron.
🧾 Cómo se lee una auditoría sin ser técnico
No hay que entender los hallazgos. Hay que mirar cuatro datos de la portada, y con eso se distingue un informe de un adorno:
La fecha y la versión exacta revisada. Si no dice qué versión, no dice nada.
El alcance. Qué se revisó y, sobre todo, qué se excluyó.
Los hallazgos y qué se hizo con ellos. Un informe con fallos graves corregidos y vueltos a revisar es mejor señal que uno sin hallazgos.
Que exista el documento. Un sello, un logotipo o la frase «auditado por» sin informe descargable no es una auditoría. Es una afirmación.
Y una comprobación que remata: ¿la versión que revisaron es la que está funcionando? Es la pregunta que casi nadie hace y la que más veces se cae.
🧩 Tres cosas distintas que se usan como sinónimos
Conviene separarlas del todo, porque cada una dice algo diferente:
Código abierto significa que hay texto publicado y una licencia. No dice que coincida con lo que se ejecuta.
Código verificado significa que coincide con lo que se ejecuta. No dice que sea bueno.
Código auditado significa que alguien lo leyó. No dice que no falle, ni que sea la versión actual.
Las tres pueden faltar por separado, y hay proyectos que tienen la primera y presumen de las otras dos.
⚖️ Lo que puedes hacer y lo que no
Conviene ser honesto con el límite, en la línea del resto de los cursos.
Leer código y detectar un fallo no está a tu alcance, ni al de la mayoría de los que lo intentan. No se arregla con un curso, y desconfía de quien te sugiera que sí.
Lo que sí está a tu alcance, y no exige saber programar, son cuatro hechos:
Si hay texto publicado y si está verificado. Es un dato que se consulta y se ve a simple vista.
Si existe un informe de revisión, con fecha y versión.
Si la versión revisada es la que se ejecuta.
Quién puede cambiarlo. Que es la lección siguiente, y es la que más pesa de las cuatro.
Cuatro respuestas comprobables valen más que una lectura superficial del código, y son alcanzables. El objetivo no es auditar: es saber en qué situación estás.
📌 En resumen
En el registro no hay texto legible: hay instrucciones para la máquina virtual. La red nunca ha visto el código original.
El texto legible vive fuera del registro, así que lo que lees y lo que se ejecuta llegaron por caminos distintos.
«Verificado» significa que alguien tradujo otra vez el texto publicado y coincide con lo que hay dentro. No lo hace el protocolo, pero cualquiera puede repetirlo.
Tres situaciones: sin texto (caja cerrada), con texto sin verificar (la peor, porque parece transparencia) y verificado (legible, no necesariamente bueno).
Una auditoría es gente que leyó una versión concreta buscando ciertos fallos. No garantiza que no haya fallos, no cubre lo excluido, no es una responsabilidad y puede no cubrir lo que corre hoy.
Sin informe descargable con fecha y versión, «auditado» es una afirmación, no una auditoría.
Abierto, verificado y auditado son tres cosas distintas, y se usan como si fueran una.
No puedes auditar, y no hace falta: puedes comprobar cuatro hechos, y el que más pesa es quién puede cambiarlo.
➡️ Qué viene después
Ya sabes leer la etiqueta. Queda la pregunta que Qué es Web3 y qué no te enseñó a hacer y no a responder, y que aquí aparece por cuarta vez: ¿quién puede cambiar esto después de que lo hayas revisado, y qué hace falta para que lo cambie? La lección siguiente la responde entera.