Como achar o repositório oficial de um projeto do GitHub e fugir de cópias falsas

Muitos programas de código aberto moram no GitHub, e é lá que muita gente vai buscar o instalador. Só que qualquer pessoa pode criar uma conta e publicar um repositório com o mesmo nome de um projeto famoso. Muitas dessas cópias são só para estudo ou teste; algumas existem para espalhar um arquivo diferente do original.

Este guia mostra como chegar ao repositório certo, o que conferir antes de baixar e quais sinais pedem mais cuidado. Nada aqui exige saber programar.

Por que existem cópias

Quanto mais famoso um projeto fica, mais cópias aparecem. Os caminhos mais comuns são três:

• Nomes parecidos. Um repositório com o mesmo nome do projeto, mas de outro dono, ou com uma letra trocada no nome do dono, aparece na busca ao lado do original e engana quem está com pressa.
• Forks com o download trocado. No GitHub, qualquer um pode fazer um fork, que é uma cópia de um repositório para mexer nela por conta própria. Isso é normal e faz parte do código aberto. O problema é quando alguém copia o projeto, mantém o texto da página e troca só o link de download.
• Anúncios e vídeos. Anúncios em buscadores, vídeos e posts que prometem “download grátis” às vezes levam a uma cópia, e não ao projeto de verdade.

Ter forks não é sinal de má intenção. Muitos existem para corrigir um erro, traduzir o programa ou manter vivo um projeto abandonado. A pergunta que importa é outra: de qual repositório você está baixando?

Comece pelo site oficial

O caminho mais curto até o repositório oficial costuma ser o site do próprio projeto. Projetos conhecidos têm um site que leva ao GitHub, em geral por um botão ou pelo ícone do GitHub no topo ou no rodapé. Seguir esse link é melhor do que confiar no primeiro resultado da busca.

O caminho inverso também ajuda. Na coluna da direita do repositório, na parte “About”, fica o endereço do site do projeto. No oficial, os dois apontam um para o outro: o site leva ao repositório, e o repositório leva ao site.

Se o projeto não tem site, procure o repositório citado na documentação, em notícias de fontes conhecidas ou nos gerenciadores de programas que aparecem mais abaixo.

Confira o dono

O endereço de um repositório tem sempre o formato github.com/dono/projeto. O dono pode ser uma conta pessoal ou uma organização, que é a conta usada por equipes e empresas. Três coisas valem a conferência:

• O nome do dono bate com o do site. O dono que aparece no link do site oficial deve ser exatamente o mesmo do repositório que você abriu, letra por letra.
• Selo de organização verificada. Uma organização pode confirmar ao GitHub que é dona do domínio do site oficial. Quando faz isso, o perfil dela mostra o selo “Verified” ao lado do domínio. Nem todo projeto sério tem o selo, mas, quando ele aparece, é uma boa pista.
• Idade e histórico da conta. Abra o perfil do dono. Uma conta com anos de atividade, outros projetos e um histórico de contribuições tem um passado que dá para conferir. Uma conta criada há poucos dias, com um único repositório, pede mais cuidado.

Veja se é um fork

Logo abaixo do nome de um fork, o GitHub mostra a etiqueta “forked from”, seguida do repositório de onde ele veio. Se você chegou a um repositório com essa etiqueta achando que era o original, clique no nome que vem depois de “forked from”: é lá que está o projeto de origem.

Uma cópia feita por fora, baixando os arquivos e subindo tudo de novo numa conta nova, não mostra essa etiqueta. Por isso ela ajuda, mas não basta sozinha: o dono e a página de downloads também precisam bater.

Confira a página de Releases

Os programas prontos para instalar costumam ficar na página de Releases, que aparece na coluna da direita do repositório. O endereço dela segue o formato github.com/dono/projeto/releases. Confira que o dono no endereço é o mesmo do repositório oficial. Uma cópia pode reaproveitar o texto do README, que é a apresentação do projeto, e levar você para a página de Releases de outra conta.

Repare também na história. Projetos estabelecidos costumam ter várias versões publicadas ao longo do tempo, cada uma com notas sobre o que mudou. Uma única versão, publicada há poucos dias por uma conta nova, é motivo para olhar com mais calma.

Sinais de alerta comuns

Nenhum destes sinais prova nada sozinho, mas cada um é um bom motivo para parar e conferir:

• ZIP com senha. Um arquivo compactado com senha impede que o antivírus veja o que tem dentro. Projetos sérios quase nunca distribuem o programa assim.
• Download fora do GitHub sem explicação. Links para sites de compartilhamento de arquivos ou para encurtadores de endereço, no lugar da página de Releases, sem dizer por quê.
• Pedido para desligar o antivírus. Instruções do tipo “desative o antivírus antes de instalar” são um alerta forte. Um programa comum não precisa disso para funcionar.
• Estrelas demais para um repositório recém-criado. As estrelas são os favoritos do GitHub, e um projeto costuma juntá-las aos poucos. Um repositório de poucos dias com uma quantidade enorme de estrelas e quase nenhuma conversa nas Issues, a área de perguntas e problemas, pode ter estrelas compradas.
• README copiado com links trocados. O texto é igual ao do projeto famoso, mas os botões de download levam para outro lugar. Compare os links com os do site oficial.
• Promessa boa demais. “Versão premium liberada”, “ativador” e outras ofertas de algo pago de graça são terreno comum para golpes e fraudes. Projetos de código aberto já são grátis e não precisam disso.

O que fazer na dúvida

Se alguma coisa não bateu, há caminhos simples para tirar a dúvida antes de instalar:

• Procure o nome no site oficial. Se o site do projeto leva a outro repositório, fique com o que o site indica.
• Procure em gerenciadores conhecidos. No Windows, o winget; no Mac, o Homebrew; no Linux, o Flathub. Esses catálogos dizem de onde vem cada programa e são mantidos por comunidades com regras de revisão, o que dá uma segunda referência além da busca.
• Veja a ficha do projeto aqui. Cada ficha deste site mostra os sinais de risco que as checagens encontraram, com a evidência de cada um, para você conferir com os próprios olhos. Uma ficha sem sinais não é garantia; é um ponto de partida.
• Pergunte no projeto oficial. Nas Issues ou nas Discussions do repositório oficial, a comunidade costuma responder se um link é mesmo do projeto.

Se mesmo assim a dúvida continuar, não instale. Esperar um dia e procurar de novo custa bem menos do que limpar um computador.

Para continuar

Os projetos em alta no início já vêm com a ficha de cada um, os sinais encontrados e o link para o repositório. Na hora de baixar, o guia Como instalar um programa do GitHub sem saber programar mostra qual arquivo escolher no seu sistema.