Инженер по безопасности приложений для AppSec

Что за роль

Web3 Tech ищет инженера по безопасности приложений для флагманского направления. Основной фокус — проверка безопасности на уровне кода, архитектуры и бизнес-логики, а не только анализ результатов автоматических сканеров. Специалист будет развивать процессы безопасной разработки и помогать командам своевременно устранять уязвимости.

Что предстоит делать

• Выстраивать процессы SSDLC, quality gates и vulnerability management, включая контроль устранения найденных проблем.
• Проводить design review сервисов и новых функций: оценивать архитектуру, протоколы взаимодействия и trust boundaries.
• Выполнять ручной аудит кода и бизнес-логики, искать проблемы авторизации, race conditions, уязвимости JWT, ошибки криптографии и обходы MFA.
• Разрабатывать и поддерживать гайдлайны безопасной разработки на Kotlin и TypeScript, требования к хранению секретов, сессиям и криптографии.
• Разбирать отчёты Bug Bounty, определять scope и взаимодействовать с исследователями.
• Расследовать продуктовые security-инциденты, устанавливать root cause и координировать устранение последствий.
• Защищать CI/CD-конвейеры в GitLab, управлять секретами через Vault и контролировать риски цепочки поставок; консультировать разработчиков по вопросам безопасности.

Что потребуется

• Уверенно читать и анализировать код на Kotlin, TypeScript, Node.js и React.
• Знать веб-уязвимости на уровне практической эксплуатации: path traversal, SQLi, SSRF, десериализацию, XXE, prototype pollution и RCE через зависимости.
• Иметь опыт ручного поиска уязвимостей, в том числе ошибок бизнес-логики, аутентификации и авторизации, проблем с JWT, сессиями, криптографией и доверенными границами.
• Понимать возможности и ограничения SAST, DAST, SCA и IAST; иметь практический опыт настройки GitLab CI и DefectDojo или аналогов.
• Уверенно работать с Linux, понимать сетевые протоколы и пользоваться Git.

Что важно знать

Web3 Tech указывает официальное трудоустройство по ТК РФ, гибкий график, ДМС, частичную компенсацию занятий спортом и возможность компенсировать профильное обучение. Будут полезны опыт аудита смарт-контрактов и безопасности кошельков, знание КриптоПро CSP или КриптоПро УЦ, участие в Bug Bounty, практика threat modeling и углублённые знания криптографии.

О компании

Web3 Tech разрабатывает блокчейн-платформу «Конфидент», включённую в реестр российского ПО. Среди проектов компании — Национальная система дистанционного электронного голосования, блокчейн-платформа для ФНС и платформа для работы с цифровыми финансовыми активами для Альфа-Банка, Тинькофф и других организаций.